Trend Micro Apex One, Apex One as a Service, and Worry-Free Business Security のパストラバーサルの脆弱性（CVE-2021-36741）

何が起きた

Trend Micro の企業向けウイルス対策製品に、入力のチェックが不十分なため、離れた場所から任意の（攻撃者が好きに選べる）ファイルをアップロードされる弱点が見つかりました。NVD の評価では、一般利用者程度の権限を持つ攻撃者がネットワーク経由で悪用でき、Trend Micro によると攻撃者は製品の管理コンソールにログインできる必要があります。Trend Micro は、CVE-2021-36742 と組み合わせてこの弱点を使った攻撃を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Trend Micro によると、Apex One 2019、Apex One SaaS、ウイルスバスター コーポレートエディション XG SP1、ウイルスバスター ビジネスセキュリティ 10 SP1 が影響を受けます。

何をすればいい

Trend Micro は、できるだけ早く最新のバージョンへ更新するよう勧めています。ウイルスバスター コーポレートエディション XG SP1 は CP 6058、ウイルスバスター ビジネスセキュリティ 10 SP1 は Patch 2329、Apex One 2019 は Patch 5 b9565 を適用してください。Trend Micro は、信頼されたネットワークからだけアクセスを許可すると悪用の可能性を減らせるとしています。公式の案内を確認してください。

やることチェックリスト

• コーポレートエディション XG SP1 に CP 6058 を適用する
• ビジネスセキュリティ 10 SP1 に Patch 2329 を適用する
• 信頼されたネットワークからだけアクセスを許可する

用語メモ

管理コンソール

製品の設定や管理を行うための、管理者用の画面です。

アップロード

手元のファイルを、ネットワークを通じて別のコンピューターに送り込むことです。

SaaS

ソフトを自分の機器に入れず、インターネット経由のサービスとして使う形のことです。