セキュリティ

SECURITY

公開：2025-03-08

【CVE-2025-22225】VMware ESXiに重大な任意書き込みの脆弱性、複数製品への影響が判明

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• VMware ESXiに任意書き込みの脆弱性が発見
• CVE-2025-22225として報告、深刻度は高レベル
• 複数のVMware製品が影響を受ける状態

VMware ESXiに発見された重大な脆弱性

VMwareは2025年3月4日、同社の仮想化基盤ソフトウェアESXiに任意書き込みの脆弱性が存在することを公表した。この脆弱性はCVE-2025-22225として識別されており、VMXプロセス内の特権を持つ悪意のある攻撃者がサンドボックスから脱出する可能性があることが判明している。^[1]

この脆弱性の深刻度はCVSSスコア8.2で高レベルに分類されており、攻撃には特権が必要だがユーザーの操作は不要とされている。影響を受けるバージョンはESXi 8.0のESXi80U3d-24585383以前、ESXi80U2d-24585300以前、ESXi 7.0のESXi70U3s-24585291以前となっている。

さらにVMware Cloud FoundationのバージョンV5.x、4.5.x、VMware Telco Cloud Platformのバージョン5.x、4.x、3.x、2.x、VMware Telco Cloud Infrastructureのバージョン3.x、2.xも影響を受けることが確認されている。CISAによる評価では、この脆弱性の悪用は既に確認されており、技術的な影響は重大とされている。

影響を受けるVMware製品とバージョン

任意書き込みの脆弱性について

任意書き込みの脆弱性とは、攻撃者が本来アクセスできない領域にデータを書き込むことができる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• メモリ上の任意の場所にデータを書き込むことが可能
• システムの重要な機能や設定を改ざんするリスクがある
• 特権昇格やサンドボックス脱出につながる可能性が高い

VMware ESXiで発見された任意書き込みの脆弱性は、CWE-123（Write-what-where Condition）に分類される深刻な問題である。VMXプロセス内の特権を持つ攻撃者がカーネルに対して任意の書き込みを行うことで、サンドボックスから脱出する可能性があることが確認されている。

VMware ESXiの脆弱性に関する考察

VMware ESXiの脆弱性が特に深刻とされる理由は、仮想化基盤という重要なインフラストラクチャに影響を及ぼす可能性があるためである。企業のデータセンターやクラウドサービスで広く利用されているESXiに対する攻撃は、複数の仮想マシンやサービスに連鎖的な影響を与える可能性が高いだろう。

この脆弱性に対する短期的な対策としては、影響を受けるバージョンのアップデートが不可欠となるが、大規模な環境での一斉アップデートには慎重な計画と実施が必要となる。特に通信事業者向けのTelco Cloud PlatformやInfrastructureへの影響は、社会インフラとしての通信サービスの安定性にも関わる重要な問題だ。

長期的な対策としては、仮想化環境のセキュリティ監視強化とインシデント対応体制の整備が重要となるだろう。VMwareには、今後もセキュリティアップデートの迅速な提供と、脆弱性情報の透明性の高い開示を期待したい。

参考サイト

1. ^ CVE. 「CVE: Common Vulnerabilities and Exposures」. https://www.cve.org/CVERecord?id=CVE-2025-22225, (参照 25-03-08).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧