公開日:2021/01/05 最終更新日:2021/01/05

JVNVU#98351146
トレンドマイクロ製 InterScan Web Security シリーズの管理画面用サービスにおける複数の脆弱性

概要

トレンドマイクロ株式会社が提供する InterScan Web Security シリーズの管理画面用サービスには複数の脆弱性が存在します。

影響を受けるシステム

  • InterScan Web Security Virtual Appliance (IWSVA) 6.5
  • InterScan Web Security Suite (IWSS) 6.5 Linux 版
なお、InterScan Web Security Suite 5.6 Windows 版は本脆弱性の影響を受けないとのことです。

詳細情報

トレンドマイクロ株式会社が提供する InterScan Web Security シリーズの管理画面用サービスには、次の複数の脆弱性が存在します。

  • バッファオーバーフロー (CWE-121) - CVE-2020-28578
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L 基本値: 7.3
    CVSS v2 AV:N/AC:L/Au:N/C:P/I:P/A:P 基本値: 7.5
  • バッファオーバーフロー (CWE-121) - CVE-2020-28579
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L 基本値: 6.3
    CVSS v2 AV:N/AC:M/Au:S/C:P/I:P/A:P 基本値: 6.0
  • OS コマンドインジェクション (CWE-78) - CVE-2020-28580
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L 基本値: 4.7
    CVSS v2 AV:N/AC:H/Au:S/C:P/I:P/A:P 基本値: 4.6
  • OSコマンドインジェクション (CWE-78) - CVE-2020-28581
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L 基本値: 4.7
    CVSS v2 AV:N/AC:H/Au:S/C:P/I:P/A:P 基本値: 4.6

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 権限を持たない遠隔の攻撃者により、IWSVA/IWSSサーバ上で任意のコードを実行される - CVE-2020-28578
  • "レポート専用" 以上の権限をもつ遠隔の攻撃者によって、IWSVA/IWSS サーバ上で任意のコードを実行される - CVE-2020-28579
  • "管理者" 権限をもつ遠隔の攻撃者によって、IWSVA/IWSS サーバ上で任意のコマンドを実行される - CVE-2020-28580, CVE-2020-28581

対策方法

パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

  • InterScan Web Security Virtual Appliance
    • 管理画面の TCP ポートへのアクセスを信頼できるユーザに限定する(デフォルトポートは 8443/TCP)。
  • InterScan Web Security Suite Linux 版
    • Linux OS のファイアウォール機能などを利用する。

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-28578
CVE-2020-28579
CVE-2020-28580
CVE-2020-28581
JVN iPedia