JVNVU#98351146
トレンドマイクロ製 InterScan Web Security シリーズの管理画面用サービスにおける複数の脆弱性

トレンドマイクロ株式会社が提供する InterScan Web Security シリーズの管理画面用サービスには複数の脆弱性が存在します。

• InterScan Web Security Virtual Appliance (IWSVA) 6.5
• InterScan Web Security Suite (IWSS) 6.5 Linux 版

トレンドマイクロ株式会社が提供する InterScan Web Security シリーズの管理画面用サービスには、次の複数の脆弱性が存在します。

• バッファオーバーフロー (CWE-121) - CVE-2020-28578

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L	基本値: 7.3
  CVSS v2	AV:N/AC:L/Au:N/C:P/I:P/A:P	基本値: 7.5

• バッファオーバーフロー (CWE-121) - CVE-2020-28579

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L	基本値: 6.3
  CVSS v2	AV:N/AC:M/Au:S/C:P/I:P/A:P	基本値: 6.0

• OS コマンドインジェクション (CWE-78) - CVE-2020-28580

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L	基本値: 4.7
  CVSS v2	AV:N/AC:H/Au:S/C:P/I:P/A:P	基本値: 4.6

• OSコマンドインジェクション (CWE-78) - CVE-2020-28581

  CVSS v3	CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L	基本値: 4.7
  CVSS v2	AV:N/AC:H/Au:S/C:P/I:P/A:P	基本値: 4.6

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 権限を持たない遠隔の攻撃者により、IWSVA/IWSSサーバ上で任意のコードを実行される - CVE-2020-28578
• "レポート専用" 以上の権限をもつ遠隔の攻撃者によって、IWSVA/IWSS サーバ上で任意のコードを実行される - CVE-2020-28579
• "管理者" 権限をもつ遠隔の攻撃者によって、IWSVA/IWSS サーバ上で任意のコマンドを実行される - CVE-2020-28580, CVE-2020-28581

パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• InterScan Web Security Virtual Appliance
  • 管理画面の TCP ポートへのアクセスを信頼できるユーザに限定する（デフォルトポートは 8443/TCP）。
• InterScan Web Security Suite Linux 版
  • Linux OS のファイアウォール機能などを利用する。