【注意喚起】InterScan Messaging Securityシリーズにおける管理コンソールの複数の脆弱性について：サポート情報 : トレンドマイクロ＠ IMSSの管理コンソールに複数の脆弱性

【注意喚起】InterScan Messaging Securityシリーズにおける管理コンソールの複数の脆弱性について：サポート情報 : トレンドマイクロ

InterScan Messaging Security Virtual Appliance(以下、IMSVA)/InterScan Messaging Security Suite(以下、InterScan MSS)において、管理コンソールに対する複数の脆弱性が確認されております。

■脆弱性の概要
以下、6件の脆弱性が確認されています。
攻撃者がこれらの脆弱性を利用するには、IMSVA/InterScan MSSサーバのホスト名/IPアドレスの情報を入手し、IMSVA/InterScan MSSサーバにアクセスできる必要があります。
外部から直接攻撃を受けるということではなく、内部に侵入された場合にこれらの脆弱性を利用されるリスクがございます。

・CVE-2020-27016(CVSS3.0スコア:7.5 深刻度:高)

管理コンソールにクロスサイトリクエストフォージェリの脆弱性が確認されています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版

・CVE-2020-27017(CVSS3.0スコア:5.7 深刻度:中)

管理コンソールにXML External Entity Processing(XXE攻撃)の脆弱性が確認されています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版

・CVE-2020-27018(CVSS3.0スコア:2.0 深刻度:低)

管理コンソールにサーバサイドリクエストフォージェリの脆弱性が確認されています。
影響のある製品：IMSVA 9.1

・CVE-2020-27019(CVSS3.0スコア:4.8 深刻度:中)

管理コンソールで利用されている特定モジュールの内部ファイルに、管理コンソールへのログイン無しでアクセスできてしまう脆弱性があります。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版

・CVE-2020-27693(CVSS3.0スコア:3.1 深刻度:低)

管理コンソールの[管理] > [管理者アカウント]にて生成できるアカウントについて、当該アカウントのパスワード情報を保持する際に使用するハッシュアルゴリズム方式が古くなっています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版, InterScan MSS 7.5 Windows版

・CVE-2020-27694(CVSS3.0スコア:4.6 深刻度:中)

管理コンソール、エンドユーザメール隔離コンソールで使用している特定のサードパーティモジュールのバージョンが古くなっています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版, InterScan MSS 7.5 Windows版

■対処方法
リスク低減策として、ネットワークファイアウォールの機能等でIMSVA/InterScan MSSサーバにアクセス可能なクライアントを制限するようお願いいたします。また、恒久対策として、これらの脆弱性を修正するCritical Patchを順次ご用意しております。
脆弱性の情報含め、詳細につきましては以下のQ&Aページをご参照ください。
製品Q&A : アラート/アドバイザリ：InterScan Messaging Securityシリーズにおける管理コンソールの複数の脆弱性について

サポート情報 : トレンドマイクロ

脆弱性について

以下6件の脆弱性が確認されています。
現在、これらの脆弱性を悪用した事例は確認されておりません。
攻撃者がこれらの脆弱性を利用するには、InterScan MSS/IMSVAサーバのホスト名/IPアドレスの情報を入手し、InterScan MSS/IMSVAサーバにアクセスできる必要があります。
外部から直接攻撃を受けるということではなく、内部に侵入された場合にこれらの脆弱性を利用されるリスクがございます。

脆弱性影響のある製品バージョン CVSS 3.0スコア深刻度

CVE-2020-27016 IMSVA
InterScan MSS Linux版 9.1
9.1 7.5 高

CVE-2020-27017 IMSVA
InterScan MSS Linux版 9.1
9.1 5.7 中

CVE-2020-27018 IMSVA 9.1 2.0 低

CVE-2020-27019 IMSVA
InterScan MSS Linux版 9.1
9.1 4.8 中

CVE-2020-27693 IMSVA
InterScan MSS Linux版
InterScan MSS Windows版 9.1
9.1
7.5 3.1 低

CVE-2020-27694 IMSVA
InterScan MSS Linux版
InterScan MSS Windows版 9.1
9.1
7.5 4.6 中

Q&A | Trend Micro Business Support

脆弱性	影響のある製品	バージョン	CVSS 3.0スコア	深刻度
CVE-2020-27016	IMSVA InterScan MSS Linux版	9.1 9.1	7.5	高
CVE-2020-27017	IMSVA InterScan MSS Linux版	9.1 9.1	5.7	中
CVE-2020-27018	IMSVA	9.1	2.0	低
CVE-2020-27019	IMSVA InterScan MSS Linux版	9.1 9.1	4.8	中
CVE-2020-27693	IMSVA InterScan MSS Linux版 InterScan MSS Windows版	9.1 9.1 7.5	3.1	低
CVE-2020-27694	IMSVA InterScan MSS Linux版 InterScan MSS Windows版	9.1 9.1 7.5	4.6	中