最近の脆弱性 › CVE-2021-36742

Trend Micro Apex One, Apex One as a Service, and Worry-Free Business Security の脆弱性（CVE-2021-36742）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-36742
製品	Trend Micro Apex One, Apex One as a Service, and Worry-Free Business Security
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2021-11-17
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-20

何が起きた

Trend Micro の企業向けウイルス対策製品に、入力のチェックが不十分なことによる権限昇格の弱点が見つかりました。NVD の評価では、すでにその機器で一般利用者程度の権限を持つ攻撃者が、その機器の上で悪用できます。Trend Micro によると、CVE-2021-36741 と組み合わせてこの弱点を使った攻撃が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Trend Micro によると、Apex One 2019、Apex One SaaS、ウイルスバスターコーポレートエディション XG SP1、ウイルスバスタービジネスセキュリティ 10 SP1 が影響を受けます。

何をすればいい

Trend Micro は、できるだけ早く最新のバージョンへ更新するよう勧めています。ウイルスバスターコーポレートエディション XG SP1 は CP 6058、ウイルスバスタービジネスセキュリティ 10 SP1 は Patch 2329、Apex One 2019 は Patch 5 b9565 を適用してください。Apex One SaaS は2021年7月21日のメンテナンスで対応済みです。公式の案内を確認し、修正が入っているか確かめてください。

やることチェックリスト

コーポレートエディション XG SP1 に CP 6058 を適用する
ビジネスセキュリティ 10 SP1 に Patch 2329 を適用する
Apex One 2019 に Patch 5 b9565 を適用する

用語メモ

権限昇格: 本来は持っていない、より強い権限（管理者など）を手に入れることです。
SaaS: ソフトを自分の機器に入れず、インターネット経由のサービスとして使う形のことです。

元データ（英語・CISA KEV より）

Trend Micro Multiple Products Improper Input Validation Vulnerability

概要

Trend Micro Apex One, Apex One as a Service, and Worry-Free Business Security contain an improper input validation vulnerability that allows for privilege escalation.

推奨対応

Apply updates per vendor instructions.