公開日:2020/03/18 最終更新日:2020/03/18

JVNVU#91632701
Apex One およびウイルスバスター コーポレートエディションにおける複数の脆弱性
緊急

概要

Apex One およびウイルスバスター コーポレートエディションには、複数の脆弱性が存在します。

影響を受けるシステム

  • Apex One 2019
  • ウイルスバスター コーポレートエディション XG SP1 および XG

詳細情報

Apex One およびウイルスバスター コーポレートエディションには、次の複数の脆弱性が存在します。

  • 管理サーバに含まれているマイグレーションツールにリモートコード実行が可能になる脆弱性 - CVE-2020-8467
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H 基本値: 9.1
    CVSS v2 AV:N/AC:L/Au:S/C:P/I:P/A:P 基本値: 6.5
  • エージェントにおいて、コンポーネントのダウンロード時の整合性チェックを回避できる脆弱性 - CVE-2020-8468
    CVSS v3 CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H 基本値: 8.0
    CVSS v2 AV:N/AC:H/Au:S/C:P/I:P/A:P 基本値: 4.6
  • 管理サーバに、システム権限レベルでサーバ上の任意のファイルを削除することが可能になる脆弱性 - CVE-2020-8470
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H 基本値: 10.0
    CVSS v2 AV:N/AC:L/Au:N/C:N/I:C/A:C 基本値: 9.4
  • 管理サーバの脆弱性のあるDLLを悪用することにより、システム権限でリモートでの任意コード実行が可能になる脆弱性 - CVE-2020-8598
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 基本値: 10.0
    CVSS v2 AV:N/AC:L/Au:N/C:C/I:C/A:C 基本値: 10.0
  • 管理サーバに、任意のファイルをアップロードすることが可能になる脆弱性 - CVE-2020-8599
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 基本値: 10.0
    CVSS v2 AV:N/AC:L/Au:N/C:P/I:P/A:P 基本値: 6.4
なお、開発者によると、CVE-2020-8467 および CVE-2020-8468 については、本脆弱性を悪用する攻撃が既に確認されているとのことです。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 遠隔の第三者によって、任意のコードを実行される可能性があります。 - CVE-2020-8467
  • 遠隔の第三者によって、Apex One エージェントおよびウイルスバスター コーポレートエディションクライアント上のコンポーネントを改ざんされる可能性があります。 - CVE-2020-8468
  • 遠隔の第三者によって、サーバ上の任意のファイルを削除される可能性があります。 - CVE-2020-8470
  • 遠隔の第三者によって、任意のコードを実行される可能性があります。 - CVE-2020-8598
  • 遠隔の第三者によって、認証を回避して管理コンソールにログインされたり、任意のコードを実行されたりする可能性があります。 - CVE-2020-8599

対策方法

パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。
開発者は、本脆弱性の対策として次のパッチをリリースしています。

  • Apex One 2019 Critical Patch (ビルド 2117)
  • ウイルスバスター コーポレートエディション XG Service Pack 1 Critical Patch (ビルド 5474)
なお開発者は、サポートが終了したバージョンを使用している場合に、最新のバージョンへのバージョンアップを推奨しています。

ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。
  • 信頼されたネットワーク以外からのサーバ、および管理コンソールへのアクセスを制限する

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告 JPCERT-AT-2020-0012
Apex One およびウイルスバスター コーポレートエディションの脆弱性 (CVE-2020-8467、CVE-2020-8468) に関する注意喚起
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2020-8467
CVE-2020-8468
CVE-2020-8470
CVE-2020-8598
CVE-2020-8599
JVN iPedia