複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月4日、複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2021.8.6 Fri 8:05

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月4日、複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

・CVE-2021-32464
Apex One 2019
Apex One SaaS
ウイルスバスタービジネスセキュリティサービス 6.7

・CVE-2021-32465
Apex One 2019
Apex One SaaS
ウイルスバスターコーポレートエディション XG SP1

・CVE-2021-36741、CVE-2021-36742
Apex One 2019
Apex One SaaS
ウイルスバスターコーポレートエディション XG SP1
ウイルスバスタービジネスセキュリティ 10 SP1

　トレンドマイクロ株式会社が提供する複数の企業向けエンドポイントセキュリティ製品には、次の複数の脆弱性が存在し、CVE-2021-36741及びCVE-2021-36742は、本脆弱性を悪用した攻撃が確認されている。

不適切なパーミッションの割り当て（CVE-2021-32464）
パーミッションの不適切な保持（CVE-2021-32465）
不適切な入力確認（CVE-2021-36741）
不適切な入力確認（CVE-2021-36742）

　想定される影響は各脆弱性により異なるが、次のような影響を受ける可能性がある。

当該製品が稼働しているOSにログイン可能な第三者によってSYSTEM権限を取得され、特定のスクリプトを改ざんされる（CVE-2021-32464）
当該製品が稼働しているOSにログイン可能な遠隔の第三者によって認証を回避される（CVE-2021-32465）
当該製品にログイン可能な遠隔の第三者によって任意のファイルをアップロードされる（CVE-2021-36741）
当該製品が稼働しているOSにログイン可能な第三者によってSYSTEM権限を取得される（CVE-2021-36742）

　開発者は本脆弱性の対策として次のパッチをリリースしており、JVNではパッチを適用するよう注意を呼びかけている。なお、Apex One SaaSは2021年7月21日のメンテナンスで修正済みとのこと。

Apex One 2019 CP 9601
ウイルスバスターコーポレートエディション XG SP1 CP 6058
ウイルスバスタービジネスセキュリティ 10 SP1 Patch 2329
ウイルスバスタービジネスセキュリティサービス 6.7.1538 / 14.2.1295 以降

《ScanNetSecurity》