【更新】【注意喚起】弊社製品の脆弱性 (CVE-2021-36741,CVE-2021-36742) を悪用した攻撃を確認したことによる修正プログラム適用のお願い

[更新日時：2021/8/3 (火) 11:00]
[公開日時：2021/7/29 (木) 11:00]

以下製品において、脆弱性を悪用した攻撃を確認しました。
すでに公開済みの各修正プログラムで対応しておりますので、未適用の場合は早期の適用をお願いいたします。

■対象製品

• Trend Micro Apex One (以下、Apex One) 2019 Build 9565 未満
• Trend Micro Apex One SaaS (以下、Apex One SaaS) Build 202107 未満
• ウイルスバスター コーポレートエディション (以下、ウイルスバスター Corp.) XG Service Pack 1 Build 6058 未満
• ウイルスバスター ビジネスセキュリティ 10.0 Service Pack 1 Build 2329 未満

■攻撃事例における影響、被害について

下記CVE-2021-36741とCVE-2021-36742に記載の脆弱性を組み合わせた攻撃が行われていることを確認しています。

本脆弱性は外部から攻撃対象のネットワークに直接侵入して悪用できるものではありません。
通常Apex One、ウイルスバスター Corp.、ウイルスバスター ビジネスセキュリティの管理サーバは外部に公開されていないため、攻撃者が本脆弱性を悪用するためには、本脆弱性とは異なる手段で、予め標的組織の内部ネットワークへ侵入し、管理サーバへアクセス可能なクライアントの制御を奪取する必要があります。

◆CVE-2021-36741

Apex One、Apex One SaaS、ウイルスバスター Corp.、ウイルスバスター ビジネスセキュリティにおいて、不適切な入力検証の脆弱性が確認されました。
これにより、遠隔から任意のファイルをアップロードされる可能性があります。
この脆弱性の悪用には攻撃者は対象となる製品の管理コンソールにログインするためのID、パスワード、Apex One SaaSで二要素認証を設定している場合は二要素認証の情報を何かしらの手段で入手している必要があります。

◆CVE-2021-36742

Apex One、Apex One SaaS、ウイルスバスター Corp.、ウイルスバスター ビジネスセキュリティにおいて、不適切な入力検証の脆弱性が確認されました。
これにより、ローカルでの権限昇格をされる可能性があります。
この脆弱性の悪用には対象のシステム上で低い権限でコードを実行できる必要があります。

脆弱性についての詳細は、2021年7月29日に公開予定の下記アラート/アドバイザリをご確認ください。

• ウイルスバスターコーポレートエディション、Trend Micro Apex OneとTrend Micro Apex One SaaS の脆弱性について（2021年7月）
• ウイルスバスタービジネスセキュリティで確認された複数の脆弱性について（2021年7月）

　

■対応方法

サポート提供期間中の各バージョンについて、修正プログラム (Critical Patch) を公開しております。
適用をされていない場合、早期に最新の修正プログラムの適用をお願いします。
ご使用のバージョン、ビルド情報の確認方法については、下記の製品Q&Aをご参照ください。

• 製品Q&A：Apex One/ ウイルスバスター Corp.の製品情報の確認方法
• 製品Q&A：ウイルスバスター ビジネスセキュリティの製品情報確認方法

■修正プログラム (CVE-2021-36741, CVE-2021-36742に関する修正)

最新版ダウンロードページにて公開をしております。

製品	修正プログラムについて
Apex One	Patch5 (Build 9565) 以降を適用してください。
ウイルスバスター Corp. XG SP1	Critical Patch (Build 6058) を適用してください。
ウイルスバスター ビジネスセキュリティ 10.0 SP1	Patch (Build 2329) を適用してください。

Apex One SaaSについては、2021年7月のメンテナンスで対応済みです。

• 製品Q&A：Trend Micro Apex One as a Service：メンテナンス情報

■その他、修正される脆弱性について

悪用が確認された脆弱性以外に、その他悪用されていない脆弱性も上記アラート/アドバイザリに併せて記載しております。
なお該当脆弱性に関しては、製品ごとに修正プログラムの対応ビルド及び脆弱性の有無が異なるため、各脆弱性ごとに対応状況を併せて記載します。

◆CVE-2021-32464

• Apex One ：Critical Patch Build 9601 で対応済み
• Apex One SaaS ： 2021年7月のメンテナンスで対応済み
• ウイルスバスター Corp. XG SP1 ： 該当脆弱性なし
• ウイルスバスター ビジネスセキュリティ 10.0 SP1：該当脆弱性なし

◆CVE-2021-32465

• Apex One ： Critical Patch Build 9601 で対応済み
• Apex One SaaS： 2021年7月のメンテナンスで対応済み
• ウイルスバスター Corp. XG SP1 ： Critical Patch Build 6058で対応
• ウイルスバスター ビジネスセキュリティ 10.0 SP1：該当脆弱性なし

■修正プログラムについて、よくある質問

修正プログラムの適用について、多くのお客さまからいただくお問い合わせ内容を以下製品Q&Aにまとめていますので、ご確認ください。

• 製品Q&A：修正プログラム適用時のよくある質問について

■製品サポート情報

ご不明な点がございましたら、弊社サポートセンターまでお問合せください。
お問合せ方法については、こちらをご確認ください。

今後とも弊社製品をご愛顧くださいますよう、よろしくお願い申しあげます。

■更新履歴

• 2021/07/29 公開
• 2021/08/03 Apex One Critical Patch Build 9601の情報を追記