情報取得日: 2026/01/23／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2024-37079 |
|---|---|
| 製品 | Broadcom (VMware) / VMware vCenter Server / Cloud Foundation |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-787 境界外書き込み |
| CVE 公開日 | 2024/06/18（NVD） |
| CISA KEV 収載日 | 2026/01/23 2024年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2026/02/13 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2024-37079 |
VMware vCenter Server の DCERPC プロトコル実装にヒープオーバーフローがある。vCenter Server へネットワーク到達できる攻撃者が細工したパケットを送るだけで発火し、リモートコード実行に至る可能性がある。認証を必要とせず（PR:N）、利用者の操作も不要（UI:N）で、vCenter は仮想化基盤の集中管理点であるため、ここを取られると配下の ESXi ホストと全仮想マシンへの支配権が渡る。ランサムウェア攻撃者が ESXi 環境を狙う際の典型的な侵入口の1つであり、実務上の重みは CVSS の数値以上に大きい。影響は NVD の CPE によると vCenter Server 7.0 系と 8.0 系の各アップデート、および VMware Cloud Foundation 4.0 以上 5.2 未満。CVSS は NVD（Primary）と CNA の VMware がともに 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で完全に一致している。NVD の vulnStatus は Analyzed。公開は 2024年6月18日だが、CISA KEV への収載は 2026-01-23 で、是正期限は 2026-02-13。公開から1年半以上あとに実際の悪用が確認された形である。ランサムウェア利用は Unknown（不明）。修正は Broadcom のセキュリティアドバイザリ（Security Advisories の 24453）に記載されている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
VMware Cloud on AWS などで vCenter を利用している場合はサービス側の版を確認し、自前運用の vCenter は Broadcom のアドバイザリに従ってパッチを適用する
AWS のマネージドサービス自体の欠陥ではない。AWS 側に自前の vSphere 環境を持ち込んでいる場合や、オンプレの vCenter を AWS 経由で管理している場合は、経路の到達範囲も併せて絞る。
参照リンク
|
| GCP | ベンダーFW更新 |
GCP 側に vCenter の資産がある場合（VMware Engine 相当の環境や持ち込み構成）は Broadcom のアドバイザリに従ってパッチを適用する
GCP 独自の告知は無い。修正はベンダー提供のパッチで行う。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure 上の vSphere 環境（持ち込み構成を含む）は Broadcom のアドバイザリに従ってパッチを適用する
Azure 独自の告知は無い。ハイブリッド構成でオンプレの vCenter を管理している場合は、その vCenter が対象になる。
参照リンク
|
| Linux | ベンダーFW更新 |
vCenter Server Appliance は Photon OS ベースの専用アプライアンスであり、Broadcom 提供のパッチ／アップデートで更新する
ディストリのパッケージ更新では解消しない。アプライアンス内部で個別に yum/tdnf を回す運用はサポート外になるため、必ずベンダー提供の更新手順に従う。
参照リンク
|
判定はまず vCenter のビルド番号を確認することから始める。vSphere Client のログイン画面や /ui のバージョン表示、あるいは vCenter の管理インタフェース（5480 ポート）でビルドが分かる。Broadcom のアドバイザリ 24453 の Response Matrix に自分の系列（7.0 / 8.0、あるいは Cloud Foundation 4.x / 5.x）の Fixed Version が載っているので、ビルドがそれ以上かどうかで判定する。もう1つ必ず見るのが到達性である。この欠陥は vCenter へネットワーク到達できることが唯一の前提なので、vCenter が管理セグメント以外から見えていないかを確認する。実務で危険なのは、リモート運用のために vCenter を VPN 無しで公開している、あるいは全社の業務セグメントから到達できる、という構成である。DCERPC は Web の前段 WAF では守れないため、経路の制限がそのまま緩和策になる。対応はアドバイザリに従った vCenter のパッチ適用で、これは vCenter の再起動を伴うので、管理断（vCenter が止まっている間も VM は動くが、vMotion や DRS、バックアップ連携は止まる）の調整が要る。緩和は、vCenter を管理専用セグメントに閉じ込め、到達元を運用端末の踏み台に限定することである。KEV 収載＝実際に悪用されているため、公開状態にしていた期間があるなら更新だけで終わらせない。確認すべきは、vCenter 上の追加された SSH 公開鍵とローカルアカウント、vpxd のログにある想定外のセッション、ESXi ホスト側の不審な VIB のインストール、そして SSO の管理者権限が付与されたアカウントである。あわせて vCenter に保存されている資格情報（ESXi の root、バックアップ製品や監視の連携アカウント、AD 参加アカウント）を再発行する。完了条件は、（1）全 vCenter が Response Matrix の Fixed Version 以上、（2）vCenter への到達が管理セグメントに限定されている、（3）公開実績があるなら痕跡確認と資格情報の再発行が済んでいることである。KEV 是正期限 2026-02-13 は経過しているため、未適用の vCenter が残っているなら期限超過として扱う。
Critical（CVSS 9.8）に分類されるBroadcom (VMware) VMware vCenter Server / Cloud Foundationの脆弱性です。VMware vCenter Server の DCERPC プロトコル実装にヒープオーバーフローがある。vCenter Server へネットワーク到達できる攻撃者が細工したパケットを送るだけで発火し、リモートコード実行に至る可能性がある。認証を必要とせず（PR:N）、利用者の操作も不要（UI:N）で、vCenter は仮想化基盤の集中管理点であるため、ここを取られると配下の ESXi ホストと全仮想マシンへの支配権が渡る。ランサムウェア攻撃者が ESXi 環境を狙う際の典型的な侵入口の1つであり、実務上の重みは CVSS の数値以上に大きい。影響は NVD の CPE によると vCenter Server 7.0 系と 8.0 系の各アップデート、および VMware Cloud Foundation 4.0 以上 5.2 未満。CVSS は NVD（Primary）と CNA の VMware がともに 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で完全に一致している。NVD の vulnStatus は Analyzed。公開は 2024年6月18日だが、CISA KEV への収載は 2026-01-23 で、是正期限は 2026-02-13。公開から1年半以上あとに実際の悪用が確認された形である。ランサムウェア利用は Unknown（不明）。修正は Broadcom のセキュリティアドバイザリ（Security Advisories の 24453）に記載されている。
判定はまず vCenter のビルド番号を確認することから始める。vSphere Client のログイン画面や /ui のバージョン表示、あるいは vCenter の管理インタフェース（5480 ポート）でビルドが分かる。Broadcom のアドバイザリ 24453 の Response Matrix に自分の系列（7.0 / 8.0、あるいは Cloud Foundation 4.x / 5.x）の Fixed Version が載っているので、ビルドがそれ以上かどうかで判定する。もう1つ必ず見るのが到達性である。この欠陥は vCenter へネットワーク到達できることが唯一の前提なので、vCenter が管理セグメント以外から見えていないかを確認する。実務で危険なのは、リモート運用のために vCenter を VPN 無しで公開している、あるいは全社の業務セグメントから到達できる、という構成である。DCERPC は Web の前段 WAF では守れないため、経路の制限がそのまま緩和策になる。対応はアドバイザリに従った vCenter のパッチ適用で、これは vCenter の再起動を伴うので、管理断（vCenter が止まっている間も VM は動くが、vMotion や DRS、バックアップ連携は止まる）の調整が要る。緩和は、vCenter を管理専用セグメントに閉じ込め、到達元を運用端末の踏み台に限定することである。KEV 収載＝実際に悪用されているため、公開状態にしていた期間があるなら更新だけで終わらせない。確認すべきは、vCenter 上の追加された SSH 公開鍵とローカルアカウント、vpxd のログにある想定外のセッション、ESXi ホスト側の不審な VIB のインストール、そして SSO の管理者権限が付与されたアカウントである。あわせて vCenter に保存されている資格情報（ESXi の root、バックアップ製品や監視の連携アカウント、AD 参加アカウント）を再発行する。完了条件は、（1）全 vCenter が Response Matrix の Fixed Version 以上、（2）vCenter への到達が管理セグメントに限定されている、（3）公開実績があるなら痕跡確認と資格情報の再発行が済んでいることである。KEV 是正期限 2026-02-13 は経過しているため、未適用の vCenter が残っているなら期限超過として扱う。
Broadcom (VMware) VMware vCenter Server / Cloud Foundation を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2024-37079）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/13 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。