独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は3月1日、Trend Micro Apex OneおよびTrend Micro Apex One SaaSにおける複数の脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。
Trend Micro Apex One 2019
Trend Micro Apex One SaaS
トレンドマイクロ株式会社から、Trend Micro Apex OneおよびTrend Micro Apex One SaaS向けのアップデートが公開されている。
想定される影響は各脆弱性により異なるが、下記の影響を受ける可能性がある。
管理サーバーにおける任意ファイルの大量アップロード(CVE-2023-0587)
管理サーバーのインストーラーにおけるファイル検索パスの逝去不備の脆弱性による任意のコード実行(CVE-2023-25143)
不適切なアクセス制御の脆弱性による権限昇格(CVE-2023-25144)
リンク解釈の問題による権限昇格(CVE-2023-25145)
リンク解釈の問題によるファイルの隔離、削除、任意の場所へのファイル配置(CVE-2023-25146)
エージェントの保護機能をバイパスされる(CVE-2023-25147)
リンク解釈の問題による、シンボリックリンクを用いた権限昇格(CVE-2023-25148)
JVNでは、トレンドマイクロが提供する情報をもとにパッチを適用するか、当該製品へのアクセスを信頼できるネットワークからのみに制限するよう呼びかけている。