複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月29日、複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性について発表した。影響を受けるシステムは以下の通り。

脆弱性と脅威セキュリティホール・脆弱性

2021.8.2 Mon 8:05

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月29日、複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性について発表した。影響を受けるシステムは以下の通り。

・CVE-2021-32464
　Apex One 2019
　Apex One SaaS
　ウイルスバスタービジネスセキュリティサービス 6.7

・CVE-2021-32465
　Apex One 2019
　Apex One SaaS
　ウイルスバスターコーポレートエディション XG SP1

・CVE-2021-36741、CVE-2021-36742
　Apex One 2019
　Apex One SaaS
　ウイルスバスターコーポレートエディション XG SP1
　ウイルスバスタービジネスセキュリティ 10 SP1

　トレンドマイクロ株式会社が提供する複数の企業向けエンドポイントセキュリティ製品には、次の複数の脆弱性が存在し、開発者によると、CVE-2021-36741及びCVE-2021-36742は、本脆弱性を悪用した攻撃が確認されているとのこと。

不適切なパーミッションの割り当て（CVE-2021-32464）
パーミッションの不適切な保持（CVE-2021-32465）
不適切な入力確認（CVE-2021-36741）
不適切な入力確認（CVE-2021-36742）

　想定される影響は各脆弱性により異なるが、次のような影響を受ける可能性がある。

当該製品が稼働しているOSにログイン可能な第三者によってSYSTEM権限を取得され特定のスクリプトを改ざんされる（CVE-2021-32464）
当該製品が稼働しているOSにログイン可能な遠隔の第三者によって認証を回避される（CVE-2021-32465）
当該製品にログイン可能な遠隔の第三者によって任意のファイルをアップロードされる（CVE-2021-36741）
当該製品が稼働しているOSにログイン可能な第三者によってSYSTEM権限を取得される（CVE-2021-36742）

　JVNでは本脆弱性の対策としてリリースされた次のパッチを適用するよう注意を呼びかけている。なお、Apex One SaaSは7月21日のメンテナンスで修正済みとのこと。

Apex One 2019 Patch 5 B9565
（CVE-2021-36741, CVE-2021-36742にのみ対応、CVE-2021-32464, CVE-2021-32465に対応するパッチは、8月初旬リリース予定）
ウイルスバスターコーポレートエディション XG SP1 CriticalPatch B6058
ウイルスバスタービジネスセキュリティ 10 SP1 Patch B2329
ウイルスバスタービジネスセキュリティサービス 6.7.1538 / 14.2.1295 以降

　または当該製品へのアクセスを信頼できるネットワークからのみに制限することで、本脆弱性の影響の軽減が可能となる。

《ScanNetSecurity》