「VMware Fusion 13.5.1」リリース、「VMSA-2024-0005(CVE-2023-20869)」の脆弱性を修正

米Broadcomによる買収完了後、リブランドされて最初のホットフィックスとなりますが、VMware by Broadcomより米国時間2024年2月28日、macOSベースのデスクトップ仮想化ソフトウェア「VMware Fusion」のアップデートリリースに相当する「VMware Fusion 13.5.1 Pro Build 23298085」がリリースされ、VMwareによる公式ダウンロードページ、及びビルトインのソフトウェアアップデーター(「VMware Fusion」>「Check for Updates…(更新の確認…)」)を通じて、日本語含む13言語リソースを包含する マルチリンガル版のバイナリーパッケージが入手可能となっています(x86-64、ARM64両アーキテクチャーにおいてネイティブ実行可能な「Universal 2 Binary」としてビルドされており、「VMware Fusion 13」以降からは 無償にてアップデート可能となっています)。

USB CCIDにおけるアウトオブバンドの脆弱性を修正した他、オープンソースライブラリ「curl」をアップデート

「VMware Fusion 13.5」を対象としたメンテナンスアップデートとして位置付けられている「VMware Fusion 13.5.1」では、全般的な安定性改善、パフォーマンス改善、バグフィックス、セキュリティアップデート等が行われており、「VMware Fusion 13.5.0」からの主な変更点として、以下の項目等が示されています。

  • USB CCID(Universal Serial Bus Chip Card Interface Device)において確認されていたアウトオブバンド(範囲外)の読み込み脆弱性を修正(The Common Vulnerabilities and Exposures project(cve.mitre.org)は「CVE-2024-22251」、VMwareセキュリティアドバイザリーは「VMSA-2024-0005(Moderate)」の共通脆弱性識別子を各々割り当て。共通脆弱性評価システム「CVSS v3.0(Common Vulnerability Scoring System Version 3.0 Calculator)」のスコア値は「5.9」)。この脆弱性では、ローカル管理者権限を有する悪質な攻撃者が仮想マシンにおいて境界外読み取りをトリガーし、結果として情報漏洩に繋がる危険性があると警鐘されていた(Qi’anxin GroupにおけるLegendsec TianGong TeamのJiaqing Huang(@s0duku)、Hao Zheng(@zhz)の両氏によって報告されていた)
  • シリアルポートを削除するためのオプションが廃止された事に起因して、仮想マシンをパワーオンした際に「ThinPrint」関連の警告が表示され得た問題を修正
  • サポートされていないグラフィックスハードウェアにおいて「VMware Fusion」を実行した場合に、MTL(Material Template Library)レンダラーがクラッシュするケースが確認されていた問題を修正
  • システム言語(「System Preferences(システム環境設定)」>「Language & Region(言語と地域)」>「General(全般)」)がフランス語に設定されていた場合に、「Windows 11 on ARM」ベースのシステムにおいて、ESD(Electronic Software Download)ファイルの作成に失敗するケースが確認されていた問題を修正
  • セキュリティを強化すべくして、コマンドラインからHTTPリクエストを送信するためのオープンソースライブラリ「curl」を「curl 8.4」にアップデート

システム要件について

「VMware Fusion 13.5(LK-99)」におけるシステム要件は、64bitプロセッサーを搭載したApple製コンピューター、ホストOSは「macOS Monterey(macOS 12)」以降(「macOS Sonoma(macOS 14)」を含む)となっています。「VMware Fusion 12」にてサポートされていた「macOS Big Sur(macOS 11)」は 対象外となりますので御注意下さい(ゲストOSとしてのmacOSのサポートも「macOS Monterey(macOS 12)」〜「macOS Sonoma(macOS 14)」となります)。また、既知の問題点を含む その他の詳細が、リリースノート、VMTN(VMware Technology Network)等を通じて確認可能となっています。

「VMware Workstation 17.5.1」について

その他にもVMwareからは、米国時間2024年2月28日付にて Windows/Linuxベースのデスクトップ仮想化ソフトウェア「VMware Workstation Pro」のメンテナンスアップデートに相当する「VMware Workstation 17.5.1 Pro Build 23298084」「VMware Workstation 17.5.1 Player Build 23298084」もリリースされています。

「VMware Workstation 17.5」を対象としたメンテナンスアップデートとして位置付けられている「VMware Workstation 17.5.1」では、「VMware Fusion 13.5.1」と同様のセキュリティ関連の修正(CVE-2024-22251)等が行われている他、Linux(ゲストOS)においてキーボード、マウスから特定のコンビネーションのイベントを実行した場合に、キーボードのプロセスがハングアップするケースが確認されていた問題の修正等が行われています。。

「VMware Fusion」「VMware Workstation」は開発を継続

Broadcomによる買収とブランディングの刷新に伴い、開発体制の見直しが行われたホステッドUIチーム(VMware Cloud Foundation)ですが、VMware by Broadcomは現在も将来も、デスクトップハイパーバイザーとプラットフォームに対する重点的な投資を継続し、「VMware Fusion」「VMware Workstation」の開発を継続すると表明しています。

これによって、エンドユーザーは過去数年間と同様のアプローチにて「VMware Fusion Pro」「VMware Workstation Pro」のライセンスを購入して使用する事が可能となる他、Free for personal use (個人利用に限り無償)の「VMware Fusion Player」「VMware Workstation Player」も、引き続き同じライセンス形態にて使用し続ける事が可能であるとの事です。

尚、エンタープライズ用途の「VMware vSphere」ラインや「VMware vCloud Suite」「VCF(VMware Cloud Foundation)」「VMware vSAN」「VMware NSX」「VMware HCX」「VMware Site Recovery Manager」等はサブスクリプションモデルへの移行が表明されていますが、デスクトップハイパーバイザーラインにおいては、現時点でこのような発表はありません。