VMware Tools / Aria Operations のローカル権限昇格で root 奪取（悪用確認済み）

High（CVSS 7.8）に分類されるBroadcom (VMware) VMware Tools / open-vm-tools / Aria Operationsの脆弱性です。VMware Aria Operations と VMware Tools にローカル権限昇格の欠陥がある。成立条件が明確で、（1）対象の仮想マシンに VMware Tools が入っている、（2）その VM が Aria Operations の管理下にある、（3）Aria Operations の SDMP（Service Discovery Management Pack）が有効になっている、の3つがそろっている VM で、管理者権限を持たないローカルユーザーが root へ昇格できる。SDMP はゲスト OS 内で動いているサービスを検出するために、VM 内でコマンドを実行する仕組みで、その実行のさせ方に問題があった。影響範囲は NVD の CPE によると Aria Operations 8.0 以上 8.18.5 未満、VMware Tools 12.5.0 以上 12.5.4 未満と 13.0.0.0 以上 13.0.5.0 未満、open-vm-tools 11.2.0 以上 12.5.4 未満および 13.0.0、Cloud Foundation 4.0 以上 5.2.2 以下、Telco Cloud Infrastructure 2.2 以上 3.0 以下、Telco Cloud Platform 4.0 以上 5.0.1 未満。Windows と Linux のカーネル自体は脆弱ではないと明示されている。CVSS は CNA の VMware による 7.8 High（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）で、NVD 自身の Primary スコアは付与されていない。NVD の vulnStatus は Analyzed。CISA KEV には 2025-10-30 に収載され、是正期限は 2025-11-20。ランサムウェア利用は Unknown（不明）。実際の悪用と技術的詳細は NVISO のブログで報告されている。

判定は成立条件を上から潰していくのが早い。第一に Aria Operations 側で SDMP（Service Discovery）を有効にしているかを確認する。無効なら、この経路では攻撃が成立しない。第二に Aria Operations の版が 8.18.5 未満かを見る。第三にゲスト OS 側の VMware Tools / open-vm-tools の版を確認する。Linux ゲストなら vmtoolsd --version、あるいはパッケージの版（open-vm-tools が 12.5.4 未満か 13.0.0）で分かる。見落としやすいのは、テンプレートから大量に払い出した VM で Tools の版が古いまま固定されているケースと、ディストリ標準の open-vm-tools を使っている Linux ゲストである。後者はディストリ側の修正を待つ必要があり、Debian は LTS のアナウンスで対応済みである。対応は2系統ある。Aria Operations を 8.18.5 以降（および Cloud Foundation / Telco 各製品の Fixed Version）へ更新することと、VMware Tools / open-vm-tools を 12.5.4 以降 / 13.0.5.0 以降へ更新することの両方で、Broadcom のアドバイザリ（VMSA-2025-0015 に相当する 36149）の Response Matrix に従って両側を上げる。すぐに全ゲストの Tools を更新できない場合の緩和は、SDMP を一時的に無効化することである。これはサービス検出という監視機能を落とす代わりに、この攻撃経路そのものを閉じる。前提が「非特権のローカルユーザー」なので、対象 VM に一般ユーザーのシェルを配っているか、外部からのコードが動くか（Web アプリのサーバ、CI ランナー）で優先度を決めるとよい。KEV 収載済み、つまり実際に悪用されているため、条件がそろっていた VM については root 奪取後の痕跡（追加された SSH 公開鍵、cron、setuid バイナリ、新規ユーザー）を確認する。完了条件は、（1）Aria Operations と VMware Tools の両方が Fixed Version 以上、（2）SDMP を止めている場合は更新後に安全な形で戻した、（3）条件を満たしていた VM の痕跡確認が済んでいることである。KEV 是正期限 2025-11-20 は経過している。

Broadcom (VMware) VMware Tools / open-vm-tools / Aria Operations を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-41244）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。