【注意喚起】InterScan Messaging Securityシリーズにおける管理コンソールの複数の脆弱性について

[公開日時：2020/11/17 (火) 15:00]

[最終更新日時：2020/11/24 (火) 13:00]

InterScan Messaging Security Virtual Appliance(以下、IMSVA)/InterScan Messaging Security Suite(以下、InterScan MSS)において、管理コンソールに対する複数の脆弱性が確認されております。

■脆弱性の概要

以下、6件の脆弱性が確認されています。
攻撃者がこれらの脆弱性を利用するには、IMSVA/InterScan MSSサーバのホスト名/IPアドレスの情報を入手し、IMSVA/InterScan MSSサーバにアクセスできる必要があります。
外部から直接攻撃を受けるということではなく、内部に侵入された場合にこれらの脆弱性を利用されるリスクがございます。


・CVE-2020-27016(CVSS3.0スコア:7.5 深刻度:高)
管理コンソールにクロスサイトリクエストフォージェリの脆弱性が確認されています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版

・CVE-2020-27017(CVSS3.0スコア:5.7 深刻度:中)
管理コンソールにXML External Entity Processing(XXE攻撃)の脆弱性が確認されています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版

・CVE-2020-27018(CVSS3.0スコア:2.0 深刻度:低)
管理コンソールにサーバサイドリクエストフォージェリの脆弱性が確認されています。
影響のある製品：IMSVA 9.1

・CVE-2020-27019(CVSS3.0スコア:4.8 深刻度:中)
管理コンソールで利用されている特定モジュールの内部ファイルに、管理コンソールへのログイン無しでアクセスできてしまう脆弱性があります。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版

・CVE-2020-27693(CVSS3.0スコア:3.1 深刻度:低)
管理コンソールの[管理] > [管理者アカウント]にて生成できるアカウントについて、当該アカウントのパスワード情報を保持する際に使用するハッシュアルゴリズム方式が古くなっています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版, InterScan MSS 7.5 Windows版

・CVE-2020-27694(CVSS3.0スコア:4.6 深刻度:中)
管理コンソール、エンドユーザメール隔離コンソールで使用している特定のサードパーティモジュールのバージョンが古くなっています。
影響のある製品：IMSVA 9.1, InterScan MSS 9.1 Linux版, InterScan MSS 7.5 Windows版

■対処方法

リスク低減策として、ネットワークファイアウォールの機能等でIMSVA/InterScan MSSサーバにアクセス可能なクライアントを制限するようお願いいたします。 また、恒久対策として、これらの脆弱性を修正するCritical Patchを順次ご用意しております。
脆弱性の情報含め、詳細につきましては以下のQ&Aページをご参照ください。

• 製品Q&A : アラート/アドバイザリ：InterScan Messaging Securityシリーズにおける管理コンソールの複数の脆弱性について

■製品サポート情報

ご不明な点がございましたら、弊社サポートセンターまでお問合せください。
お問合せ方法については、こちらをご確認ください。

今後とも弊社製品をご愛顧くださいますよう、よろしくお願い申し上げます。

■更新履歴