JVNVU#95147316: InterScan for Microsoft Exchange における複数の脆弱性

トレンドマイクロ株式会社が提供する InterScan for Microsoft Exchange には、複数の脆弱性が存在します。

InterScan for Microsoft Exchange 11.0
InterScan for Microsoft Exchange 12.0

トレンドマイクロ株式会社が提供する InterScan for Microsoft Exchange (ISME) には、通信が暗号化されない脆弱性、「その他のアップデート元」機能を使用したソフトウェアアップデートが検証されない脆弱性、クロスサイトリクエストフォージェリの脆弱性、およびクロスサイトスクリプティングの脆弱性の複数の脆弱性が存在します。

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

遠隔の第三者によって、ActiveUpdate サーバへの通信内容を取得される - CVE-2017-14090
遠隔の第三者によって、当該製品のディレクトリのファイルをシステム権限で上書きされる - CVE-2017-14091
当該製品にログオンした状態のユーザが、細工されたページにアクセスした場合、意図しない操作をさせられる - CVE-2017-14092
当該製品にログオンしているユーザのウェブブラウザ上で、任意のスクリプトが実行される - CVE-2017-14093

パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。
開発者は、本脆弱性の対策として次のパッチをリリースしています。

InterScan for Microsoft Exchange(TM) 11.0 Service Pack 1 Patch 1 Critical Patch (ビルド 4321)
InterScan for Microsoft Exchange(TM) 12.0 Service Pack 1 Critical Patch (ビルド 1500)

ベンダ	リンク
トレンドマイクロ株式会社	アラート/アドバイザリ : InterScan for Microsoft Exchange に関するCVE-2017-14090 他複数の脆弱性について

Core Security
Trend Micro ScanMail for Microsoft Exchange Multiple Vulnerabilities

この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2017-14090
	CVE-2017-14091
	CVE-2017-14092
	CVE-2017-14093
JVN iPedia

JVNVU#95147316 InterScan for Microsoft Exchange における複数の脆弱性

JVNVU#95147316
InterScan for Microsoft Exchange における複数の脆弱性