公開日:2021/07/29 最終更新日:2021/08/04

JVNVU#93876919
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性
緊急

概要

トレンドマイクロ株式会社が提供する複数の企業向けエンドポイントセキュリティ製品には、複数の脆弱性が存在します。

影響を受けるシステム

CVE-2021-32464

  • Apex One 2019
  • Apex One SaaS
  • ウイルスバスタービジネスセキュリティサービス 6.7
CVE-2021-32465
  • Apex One 2019
  • Apex One SaaS
  • ウイルスバスターコーポレートエディション XG SP1
CVE-2021-36741、CVE-2021-36742
  • Apex One 2019
  • Apex One SaaS
  • ウイルスバスターコーポレートエディション XG SP1
  • ウイルスバスタービジネスセキュリティ 10 SP1

詳細情報

トレンドマイクロ株式会社が提供する複数の企業向けエンドポイントセキュリティ製品には、次の複数の脆弱性が存在します。

  • 不適切なパーミッションの割り当て (CWE-732) - CVE-2021-32464
    CVSS v3 CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.8
  • パーミッションの不適切な保持 (CWE-281) - CVE-2021-32465
    CVSS v3 CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.5
  • 不適切な入力確認 (CWE-20) - CVE-2021-36741
    CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H 基本値: 7.1
  • 不適切な入力確認 (CWE-20) - CVE-2021-36742
    CVSS v3 CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.8
なお、開発者によると、CVE-2021-36741およびCVE-2021-36742は、本脆弱性を悪用した攻撃が確認されているとのことです。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 当該製品が稼働しているOSにログイン可能な第三者によって、SYSTEM権限を取得され、特定のスクリプトを改ざんされる - CVE-2021-32464
  • 当該製品が稼働しているOSにログイン可能な遠隔の第三者によって、認証を回避される - CVE-2021-32465
  • 当該製品にログイン可能な遠隔の第三者によって、任意のファイルをアップロードされる - CVE-2021-36741
  • 当該製品が稼働しているOSにログイン可能な第三者によって、SYSTEM権限を取得される - CVE-2021-36742

対策方法

パッチを適用する
開発者が提供する情報をもとにパッチを適用してください。
開発者は本脆弱性の対策として次のパッチをリリースしています。

  • Apex One 2019 CP 9601
  • ウイルスバスターコーポレートエディション XG SP1 CP 6058
  • ウイルスバスタービジネスセキュリティ 10 SP1 Patch 2329
  • ウイルスバスタービジネスセキュリティサービス 6.7.1538 / 14.2.1295 以降
開発者によると、Apex One SaaSは2021年7月21日のメンテナンスで修正済みとのことです。

ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
  • 当該製品へのアクセスを、信頼できるネットワークからのみに制限する

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

関連文書

JPCERT 緊急報告 JPCERT-AT-2021-0033
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品の脆弱性に関する注意喚起
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2021/07/29
[関連文書]を更新しました。
2021/08/04
[対策方法]を更新しました。