JVNVU#99904867
ウイルスバスタービジネスセキュリティシリーズにおける複数の脆弱性

ウイルスバスタービジネスセキュリティシリーズには、複数の脆弱性があります。

CVE-2020-24563, CVE-2020-24564, CVE-2020-24565, CVE-2020-25770, CVE-2020-25771, CVE-2020-25772, CVE-2020-28574

• ウイルスバスタービジネスセキュリティ 9.5 および 10.0 SP1

• ウイルスバスタービジネスセキュリティサービス 6.7

ウイルスバスタービジネスセキュリティシリーズには、次の複数の脆弱性があります。

• 認証バイパス (CWE-287) - CVE-2020-24563

  CVSS v3	CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	基本値: 7.8
  CVSS v2	AV:L/AC:L/Au:N/C:P/I:P/A:P	基本値: 4.6

• 境界外読み取り (CWE-125) - CVE-2020-24564, CVE-2020-24565, CVE-2020-25770, CVE-2020-25771, CVE-2020-25772

  CVSS v3	CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:H	基本値: 5.6
  CVSS v2	AV:L/AC:L/Au:S/C:P/I:P/A:P	基本値: 4.3

• パストラバーサル (CWE-22) - CVE-2020-28574

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H	基本値: 10.0
  CVSS v2	AV:N/AC:L/Au:N/C:P/I:P/A:P	基本値: 7.5

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• ローカルの第三者によって、エージェントのアンロードオプションのプロセスを操作されることにより権限昇格されたり、コード実行されたりする - CVE-2020-24563
• エージェントがインストールされた環境で、管理者権限を持たない第三者によって機微な情報が窃取される - CVE-2020-24564, CVE-2020-24565, CVE-2020-25770, CVE-2020-25771, CVE-2020-25772
• 遠隔の第三者が認証を回避し、管理サーバ上の任意のファイルを変更や削除される - CVE-2020-28574

パッチを適用する - ウイルスバスタービジネスセキュリティ 10.0 SP1
開発者が提供する情報をもとに、パッチを適用してください。
開発者は、本脆弱性の対策として次のパッチをリリースしています。

• ウイルスバスタービジネスセキュリティ 10.0 SP1 Patch 2260以降