VMware vCenter/NSXに重大な脆弱性、Broadcomが修正版を公開：通知メール操作、ブルートフォース攻撃、不正アクセスの可能性

　Broadcomは2025年9月29日（米国時間）、VMware製品に存在する複数の脆弱（ぜいじゃく）性を公表した。影響を受ける製品は、「VMware vCenter Server」「VMware NSX」、vCenterやNSXを含む「VMware Cloud Foundation」（以下、VCF）、通信向けの「VMware Telco Cloud Platform」「VMware Telco Cloud Infrastructure」など広範囲に及ぶ。これらの脆弱性は「Important」（重大）に分類され、CVSS v3スコアは7.5〜8.5とされている。

　CVE-2025-41250は、vCenterにおけるSMTPヘッダインジェクションの脆弱性だ。非管理者権限を持つユーザーであってもスケジューリングされたタスクを作成できる場合、通知メールを操作できる恐れがある。最大CVSSスコアは8.5。修正版はvCenter 7.0 U3w、8.0 U3g、「VMware vSphere Foundation（VVF）」/VCF 9.0.1.0やVCF 5.2.2、Telco Cloud Platform/Infrastructure向けのKB411518で提供されている。

　CVE-2025-41251は、NSXにおけるパスワードリカバリー機構の不備に起因する脆弱性。未認証の攻撃者が有効なユーザー名を特定でき、ブルートフォース攻撃を引き起こす可能性がある。最大CVSSスコアは8.1。