アラート/アドバイザリ：Apex Oneとウイルスバスターコーポレートエディションで確認された複数の脆弱性について：Q&A | Trend Micro Business Support
Trend Micro Apex One, ウイルスバスターコーポレートエディションで複数の脆弱性（CVE-2021-42101 から42103、CVE-2021-42104 から 42108CVE-2021-42011、CVE-2021-42012、CVE-2021-23139）が確認されました。
Q&A | Trend Micro Business Support
Q&A | Trend Micro Business Support脆弱性の概要
CVE-2021-42101 - 42103：制御されていない検索パス要素による権限昇格の脆弱性
CVSSv3: 7.0: AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H (CVE-2021-42101, 42102)
CVSSv3 7.8: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (CVE-2021-42103)
Apex One、Apex One SaaS、ウイルスバスターCorp.には、検索パスの要素が制御されない脆弱性があり、攻撃者がローカルで権限を昇格できる可能性があります。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。CVE-2021-42104 - 42108:不必要な権限によるローカル権限昇格の脆弱性
CVSSv3: 7.8: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (CVE-2021-42104 から 42107)
CVSSv3: 7.3: AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H (CVE-2021-42108)
Apex One、Apex One SaaS、ウイルスバスターCorp.に不必要な特権の脆弱性があり、攻撃者がローカルで権限を昇格できる可能性があります。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。CVE-2021-42011:不適切なパーミッションの割り当てによる権限昇格の脆弱性
CVSSv3: 7.8: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Apex One、ウイルスバスターCorp.には不適切な権限割り当ての脆弱性があり、攻撃者がローカルで権限を昇格できる可能性があります。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。CVE-2021-42012:スタック上でのバッファオーバーフローによる権限昇格の脆弱性
CVSSv3: 7.8: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Apex One、Apex One SaaS, ウィルスバスターCorp. には、スタックベースのバッファオーバーフローの脆弱性があり、攻撃者がローカルで権限を昇格できる可能性があります。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。CVE-2021-23139:ヌルポインタの脆弱性
CVSSv3: 3.5: AV:A/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L
Apex One、Apex One SaaS, ウィルスバスターCorp.には、ヌルポインタの脆弱性があり、攻撃者が影響を受けるインストール環境のCGIプログラムをクラッシュさせる可能性があります。
対処方法 製品/コンポーネント/ツール バージョン 修正 README Apex One SaaS 9月メンテナンス14.0.10025 Readme Apex One 2019 CP9645 Readme ウイルスバスターCorp XG SP1 CP6063 ※ Readme Q&A | Trend Micro Business Support※XG SP1については、CVE-2021-23139、CVE-2021-42012は11月上旬公開予定のCritical Patch, CVE-2021-42011は、12月公開予定のCriitcal Patchでの修正を予定しております。
Q&A | Trend Micro Business Support軽減要素
この種の脆弱性を悪用するには、一般的に攻撃者が脆弱な端末にアクセスできることが必要です。 信頼されたネットワークからのみアクセスを許可することで、本脆弱性が利用される可能性を軽減することができます。
トレンドマイクロは、お客様にできるだけ早く最新のビルドにアップデートすることをお勧めしています。
関連URL
- 【セキュリティ ニュース】法人向けエンドポイント製品にサービス拒否の脆弱性 - トレンド（1ページ目 / 全1ページ）：Security NEXT
- JVNVU#92842857: トレンドマイクロ製企業向けエンドポイントセキュリティ製品における権限昇格の脆弱性
- アラート/アドバイザリ：Apex Oneとウイルスバスターコーポレートエディションで確認された複数の脆弱性について:Q&A | Trend Micro Business Support
- ウイルスバスタービジネスセキュリティおよびウイルスバスタービジネスセキュリティサービスで確認された複数の脆弱性について（2021年10月）：サポート情報 : トレンドマイクロ
- Trend Micro Apex One、Trend Micro Apex One SaaS およびウイルスバスター コーポレートエディション XG の複数の脆弱性について：サポート情報 : トレンドマイクロ
