JVNVU#99357827
Smart Protection Server における OS コマンドインジェクションの脆弱性

トレンドマイクロ株式会社が提供する Smart Protection Server には、OS コマンドインジェクションの脆弱性が存在します。

• Smart Protection Server 3.1
• Smart Protection Server 3.2 ビルド 1074
• Smart Protection Server 3.2 ビルド 1078

トレンドマイクロ株式会社が提供する Smart Protection Server には、スクリプトファイル「cm_agent.php」の処理に起因する、OS コマンドインジェクション (CWE-78) の脆弱性が存在します。

管理コンソールにログオン可能なユーザにより、任意の OS コマンドを実行される可能性があります。

最新のインストーラを使用する
当該製品を新規にインストールする際には、Smart Protection Server 3.2 ビルド 1085 の ISO イメージを使用してください。
開発者によると、Smart Protection Server 3.2 ビルド 1085 の ISO イメージは、当該製品の最新版ダウンロードページよりダウンロードできるとのことです。

ワークアラウンドを実施する
開発者によると、すでに Smart Protection Server 3.1、3.2 ビルド 1074 および 3.2 ビルド 1078 を使用しているユーザは、次のワークアラウンドを実施することで、本脆弱性を回避することが可能とのことです。

• root アカウントでログオンし、次のコマンドを実行してスクリプトファイル「cm_agent.php」を削除する
  rm -f /var/www/AdminUI/php/cm_agent.php