脆弱性スキャンにより HTTPS サーバーで HSTS が不足していることが検出される

Products

• VMware vCenter Server
• VMware vSphere ESXi

Issue/Introduction

免責事項：これは英文の記事「Vulnerability scan detecting HSTS Missing From HTTPS Server」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

脆弱性スキャナーがリモートのウェブサーバーが HSTS を適用していないことを検出する場合があります。

Environment

VMware vCenter Server 7.x
VMware vCenter Server 8.x
VMware vSphere ESXi 7.0
VMware vSphere ESXi 8.0

Cause

TCP 9080:

ESXi のポート 9080/tcp は HTTP Strict Transport Security (HSTS) ヘッダーを送信しないことにご注意ください。HSTS は、ブラウザ接続をセキュリティのダウングレードから保護するのに役立ちます。一部のセキュリティスキャンツールは、すべての TLS ポートがブラウザ互換であると仮定して、ポート 9080/tcp に HSTS がないことを脆弱性として誤ってフラグ付けします。しかし、ポート 9080/tcp は Web サーバーではなく、ブラウザ接続をサポートしておらず、暗号化されていない通信もサポートしていません。したがって、このポートにとって HSTS チェックは無関係です。VMware は vSphere 管理者の規制コンプライアンスに関する摩擦を軽減することにコミットしており、今後の製品バージョンでこれに対処する予定です。

TCP 5580:

このポートは VMware POD API に対応しています。この API は HTTP を一切サポートしていないため、このポートに HSTS は関係ありません。

VMware vCenter Server 7.0 Update 2 Release Notes 

TCP 3128: 

このポートは、vCenter のスマートカードベース認証のための受信ポートです。スマートカードログイン中に接続はポート 3128 にリダイレクトされます。このポートは、事前設定された相互認証接続のみをサポートしており、直接的なブラウザエンドポイントとして意図されていません。そのため、HSTS ヘッダーは返されません。

Configure vCenter Server Smart Card Authentication to Request Client Certificates 

詳細については、VMware vSphere 8 Default SSL/TLS Cipher Suites  および VMware vSphere 7 Default SSL/TLS Cipher Suites  をご参照ください。

TCP2379:

これは基本的に vSphere-Tanzu の双方向 TCP ポートです。
ポートの説明：etcdサーバーを公開します。etcdは、Kubernetes コントロール プレーンの状態を保存するために不可欠な分散キーバリュー ストアです。

vSphere 8.0 以降、tcp/2379 (etcdClientComm) はシステム所有のファイアウォールであり、手動で無効化/有効化できないことにご注意ください。vSphere 8.0 u2b 以降、このファイアウォールルールに対して許可される IP リストを変更できます。

Resolution

脆弱性スキャナーがこの動作を検出した場合、このアラートを除外するためにスキャナーに例外を実装する必要があるかもしれません。