【概要】

　　トレンドマイクロ株式会社が提供する複数の企業向けエンドポイントセキュリティ製品には、次の
　　複数の脆弱性が存在します。

　　　* 不適切なパーミッションの割り当て (CWE-732) - CVE-2021-32464
　　　* パーミッションの不適切な保持 (CWE-281) - CVE-2021-32465
　　　* 不適切な入力確認 (CWE-20) - CVE-2021-36741
　　　* 不適切な入力確認 (CWE-20) - CVE-2021-36742

　　なお、開発者によると、CVE-2021-36741 および CVE-2021-36742 は、本脆弱性を悪用した攻
　　撃が確認されているとのことです。
　
　　この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCER
　　T/CC が開発者との調整を行いました。

【CVSS による深刻度 (CVSS とは?)】

　　CVSS v3 による深刻度
　　基本値: 7.8 (重要) [その他]

　　　・攻撃元区分: ローカル
　　　・攻撃条件の複雑さ: 低
　　　・攻撃に必要な特権レベル: 低
　　　・利用者の関与: 不要
　　　・影響の想定範囲: 変更なし
　　　・機密性への影響(C): 高
　　　・完全性への影響(I): 高
　　　・可用性への影響(A): 高

　　※上記は、CVE-2021-32464の評価になります。

　　CVSS v3 による深刻度
　　基本値:7.5 (重要) [その他]

　　　・攻撃元区分: ネットワーク
　　　・攻撃条件の複雑さ: 高
　　　・攻撃に必要な特権レベル: 低
　　　・利用者の関与: 不要
　　　・影響の想定範囲: 変更なし
　　　・機密性への影響(C): 高
　　　・完全性への影響(I): 高
　　　・可用性への影響(A): 高

　　※上記は、CVE-2021-32465の評価になります。

　　CVSS v3 による深刻度
　　基本値:7.1 (重要) [その他]

　　　・攻撃元区分: ネットワーク
　　　・攻撃条件の複雑さ: 低
　　　・攻撃に必要な特権レベル: 低
　　　・利用者の関与: 不要
　　　・影響の想定範囲: 変更なし
　　　・機密性への影響(C): なし
　　　・完全性への影響(I): 低
　　　・可用性への影響(A): 高

　　※上記は、CVE-2021-36741の評価になります。

　　CVSS v3 による深刻度
　　基本値:7.8 (重要) [その他]

　　　・攻撃元区分: ローカル
　　　・攻撃条件の複雑さ: 低
　　　・攻撃に必要な特権レベル: 低
　　　・利用者の関与: 不要
　　　・影響の想定範囲: 変更なし
　　　・機密性への影響(C): 高
　　　・完全性への影響(I): 高
　　　・可用性への影響(A): 高

　　※上記は、CVE-2021-36742の評価になります。

【影響を受けるシステム】

　　トレンドマイクロ

　　　・Apex One 2019
　　　・Apex One SaaS
　　　・ウイルスバスター コーポレートエディション XG SP1
　　　・ウイルスバスター ビジネスセキュリティ 10 SP1
　　　・ウイルスバスタービジネスセキュリティサービス 6.7

　　本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認くださ
　　い。

【想定される影響】

　　想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

　　* 当該製品が稼働している OS にログイン可能な第三者によって、SYSTEM 権限を取得され、
　　特定のスクリプトを改ざんされる - CVE-2021-32464
　　* 当該製品が稼働しているOS にログイン可能な遠隔の第三者によって、認証を回避される -
　　CVE-2021-32465
　　* 当該製品にログイン可能な遠隔の第三者によって、任意のファイルをアップロードされる - C
　　VE-2021-36741
　　* 当該製品が稼働している OS にログイン可能な第三者によって、SYSTEM 権限を取得される
　　 - CVE-2021-36742

【対策】

　　[パッチを適用する]
　　開発者が提供する情報をもとにパッチを適用してください。
　　開発者は本脆弱性の対策として次のパッチをリリースしています。

　　* Apex One 2019 CP 9601
　　* ウイルスバスターコーポレートエディション XG SP1 CP 6058
　　* ウイルスバスタービジネスセキュリティ 10 SP1 Patch 2329
　　* ウイルスバスタービジネスセキュリティサービス 6.7.1538 / 14.2.1295 以降
　
　　開発者によると、Apex One SaaS は 2021年7月21日のメンテナンスで修正済みとのことです。

　　[ワークアラウンドを実施する]
　　次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

　　* 当該製品へのアクセスを、信頼できるネットワークからのみに制限する

【ベンダ情報】

　　トレンドマイクロ

　　　・TrendMicro Solution : アラート/アドバイザリ：ウイルスバスター コーポレートエディショ
　　　　ン、Trend Micro Apex OneとTrend Micro Apex One SaaS の脆弱性について（2021年7
　　　　月）
　　　・TrendMicro Solution : アラート/アドバイザリ：ウイルスバスター ビジネスセキュリティで確
　　　　認された複数の脆弱性について（2021年7月）
　　　・TrendMicro Solution : アラート/アドバイザリ：ウイルスバスター ビジネスセキュリティサ
　　　　ービスにおける不適切なパーミッション割り当てによる権限昇格の脆弱性
　　　・トレンドマイクロ サポート情報 : 【注意喚起】弊社製品の脆弱性 (CVE-2021-36741,CVE
　　　　-2021-36742) を悪用した攻撃を確認したことによる修正プログラム適用のお願い

【CWEによる脆弱性タイプ一覧 CWEとは?】

　　　1.不適切な入力確認(CWE-20) [その他]
　　　2.パーミッションの不適切な保持(CWE-281) [その他]
　　　3.重要なリソースに対する不適切なパーミッションの割り当て(CWE-732) [その他]

【共通脆弱性識別子(CVE) CVEとは?】

　　　1.CVE-2021-32464
　　　2.CVE-2021-32465
　　　3.CVE-2021-36741
　　　4.CVE-2021-36742

出典：JVN iPedia