【ITニュース解説】Broadcom fixes high-severity VMware NSX bugs reported by NSA

今回のニュースは、大手テクノロジー企業であるBroadcomが、VMware NSXという重要なネットワーク製品に存在していたセキュリティ上の欠陥、すなわち脆弱性を修正したという内容だ。さらに、この脆弱性はアメリカ合衆国の国家安全保障局（NSA）によって発見され、Broadcomに報告されたという点がこのニュースの大きなポイントである。システムエンジニアを目指す者にとって、ITシステムのセキュリティがいかに重要であるか、そして実際の運用においてどのような知識や対応が求められるのかを理解する上で、このニュースは多くの示唆を与えてくれるだろう。

まず、このニュースに登場する主要な企業と製品について解説する。Broadcomは、半導体やエンタープライズソフトウェアといった多岐にわたる事業を展開するグローバル企業だ。近年では、仮想化技術の分野で世界をリードしてきたVMwareという企業を買収したことでも知られている。VMwareは、物理的なコンピューターのハードウェア上に複数の仮想的なコンピューター環境を作り出す「仮想化技術」のパイオニアであり、企業のデータセンターやクラウド環境の基盤として広く利用されている。

そのVMwareが提供する主要製品の一つが「VMware NSX」である。NSXは「ソフトウェア定義ネットワーク（SDN）」と呼ばれる技術を実現するための製品で、物理的なネットワーク機器の設定や管理をソフトウェアで行えるようにする。これにより、ネットワークの構築、変更、管理が非常に柔軟かつ効率的に行えるようになる。データセンターやクラウド環境では特に重要で、ネットワークの仮想化だけでなく、ファイアウォールやロードバランサーといったセキュリティ機能もソフトウェアで提供できるため、ITインフラの根幹をなす技術だと言える。

次に、「脆弱性」についてだが、これはソフトウェアやシステムが持つセキュリティ上の欠陥を指す言葉である。プログラムのミスや設計上の不備など、さまざまな原因で発生する。脆弱性が存在すると、それを悪意のある第三者、すなわち攻撃者が利用して、システムに不正に侵入したり、機密情報を盗み出したり、システムを停止させたりするなどの被害をもたらす可能性がある。今回のニュースで「高深刻度」と表現されているのは、もしこの脆弱性が悪用された場合、その被害が非常に大きくなる可能性が高いことを示している。

今回Broadcomが修正した脆弱性は二つあり、それぞれCVE-2023-34063とCVE-2023-34064という識別番号が付けられている。CVE-2023-34063はVMware NSX Managerにおける「権限昇格」の脆弱性だ。NSX ManagerはNSX環境全体を管理するための中心的な役割を担うコンポーネントであり、ネットワークの制御やセキュリティポリシーの適用など、非常に重要な機能を実行する。この権限昇格の脆弱性とは、攻撃者が低い権限しか持たないユーザーアカウントから、システム管理者と同等かそれ以上の高い権限を不正に取得できてしまう欠陥を指す。もし攻撃者がNSX Managerの管理者権限を奪取できてしまえば、NSXが制御するネットワーク全体を自由に操作したり、セキュリティ設定を無効化したり、あるいはシステムを停止させたりすることが可能となり、その影響は企業全体に及ぶ甚大なものとなるだろう。

もう一つのCVE-2023-34064は、NSX Managerにおける「ファイル書き込み」の脆弱性である。これは、攻撃者がNSX Managerのシステム内に不正なファイルを書き込むことができる欠陥を意味する。例えば、悪意のあるプログラム（マルウェア）を仕込んだり、バックドア（不正アクセス用の隠し経路）を作成したり、重要な設定ファイルを改ざんしたりすることで、システムを乗っ取ったり、機密情報を盗み出したりする足がかりにされる可能性がある。このような脆弱性も、NSXという基幹システムにとっては非常に危険であり、データセンター全体のセキュリティを脅かす恐れがある。

そして、今回のニュースで特に注目すべきは、これらの脆弱性を「NSA（国家安全保障局）」が発見し、Broadcomに報告したという点だ。NSAはアメリカ合衆国の情報機関であり、国の安全保障に関わるさまざまな活動を行っている。その中でも、サイバーセキュリティはNSAの重要な任務の一つで、政府機関や重要インフラ、軍事システムなどをサイバー攻撃から守るための情報収集や技術開発、研究を行っている。NSAが企業製品の脆弱性を発見し、報告するのは、その脆弱性が広範囲に利用されるシステムに存在し、もし悪用されればアメリカの国家安全保障に影響を与える可能性があると判断されたためだ。NSXのような多くの企業で利用されているネットワーク基盤に高深刻度の脆弱性があると、多くの組織がサイバー攻撃の標的となるリスクが高まる。NSAは、そうしたリスクを未然に防ぎ、サイバー空間全体の安全性を高めるために、積極的に脆弱性の発見と情報共有に取り組んでいるのである。

Broadcomは、NSAからの報告を受けて迅速に対応し、これらの脆弱性を修正するための「セキュリティアップデート」をリリースした。セキュリティアップデート、あるいは「パッチ」とは、ソフトウェアのバグや脆弱性を修正するために提供されるプログラムのことだ。システムエンジニアにとって、こうしたセキュリティアップデートが公開された際には、自社で利用しているシステムに影響がないかを確認し、速やかに適用することが非常に重要となる。パッチを適用せずに放置しておくと、既知の脆弱性を悪用した攻撃の格好の標的となってしまうからだ。

今回のニュースは、システムエンジニアを目指す人々にとって、ITシステムの運用においてセキュリティがどれほど重要であるかを具体的に示している。ITシステムは常に進化し、それに伴い新たな脆弱性も発見され続けるのが常である。そのため、システムエンジニアは常に最新のセキュリティ情報にアンテナを張り、自社で利用しているソフトウェアやシステムのセキュリティ状態を把握し、適切な対策を講じる責任がある。脆弱性の発見、ベンダーへの報告、そして修正パッチのリリースと適用という一連のサイクルは、IT業界におけるセキュリティ対策の基本的な流れであり、このサイクルを理解し、実践する能力はシステムエンジニアとして不可欠なものとなるだろう。日々の業務の中で、このようなセキュリティに関するニュースに目を向け、常に学び続ける姿勢が求められるのである。