InterScan Web Securityシリーズにおける管理画面サービスの複数の脆弱性について

[公開日時：2020/12/15 (火) 15:00]

[最終更新日時：2020/12/17 (木) 18:50]

InterScan Web Security Virtual Appliance(以下、IWSVA)/InterScan Web Security Suite(以下、IWSS) Linux版において、管理画面に対する複数の脆弱性が確認されております。

■脆弱性の概要

以下、4件の脆弱性が確認されています。
IWSS 5.6 Windows版については、これらの脆弱性の影響はございません。
攻撃者がこれらの脆弱性を利用するには、IWSVA/IWSSサーバのホスト名/IPアドレスの情報を入手し、IWSVA/IWSSサーバにアクセスできる必要があります。
外部から直接攻撃を受けるということではなく、内部に侵入された場合にこれらの脆弱性を利用されるリスクがございます。


・CVE-2020-28578(CVSS3.0スコア:7.3 深刻度:高)
管理画面用サービスにバッファオーバフローの脆弱性があります。

・CVE-2020-28579(CVSS3.0スコア:6.3 深刻度:中)
管理画面用サービスの"レポート専用"権限以上のアカウントで操作可能な処理にバッファオーバフローの脆弱性があります。

・CVE-2020-28580(CVSS3.0スコア:4.7 深刻度:中)
管理画面用サービスの"管理者"権限のアカウントで操作可能な処理にコマンドインジェクションの脆弱性があります。

・CVE-2020-28581(CVSS3.0スコア:4.7 深刻度:中)
管理画面用サービスの"管理者"権限のアカウントで操作可能な処理にコマンドインジェクションの脆弱性があります。

■対処方法

リスク低減策として、ネットワークファイアウォールの機能等でIWSVA/IWSSサーバにアクセス可能なクライアントを制限するようお願いいたします。 また、恒久対策として、これらの脆弱性を修正するHotfixを提供しております。
脆弱性の情報含め、詳細につきましては以下のQ&Aページをご参照ください。

• 製品Q&A : アラート/アドバイザリ：InterScan Web Securityシリーズにおける管理画面サービスの複数の脆弱性について

■製品サポート情報

ご不明な点がございましたら、弊社サポートセンターまでお問合せください。
お問合せ方法については、こちらをご確認ください。

今後とも弊社製品をご愛顧くださいますよう、よろしくお願い申し上げます。

■更新履歴