セキュリティ関連製品を提供・開発しているトレンドマイクロ株式会社。同社が提供している「ウイルスバスター」、「ウイルスバスター　クラウド」に複数の脆弱性が見つかったと報じています。

「ウイルスバスター」の脆弱性情報

脆弱性情報

• ディレクトリトラバーサル
• HTTP ヘッダインジェクション

発見されたシステム・バージョン

• ウイルスバスター コーポレートエディション 11.0
• ウイルスバスター ビジネスセキュリティ 9.0
• ウイルスバスター ビジネスセキュリティサービス 5.x

想定される影響

本脆弱性を利用した攻撃をするには、ユーザの LAN 環境にアクセスする必要があるが、端末内のファイルを取得されたり、ウェブブラウザ上で任意のスクリプトを実行される可能性があります。

対応方法

ウイルスバスター コーポレートエディション 11.0の場合

⇒修正モジュールを適用してください。モジュールの提供は個別対応となるため、開発者サポートセンターへお問い合わせください、とのこと。また、2016年6月末予定の次期Critical Patchの適応でも対応可能とのこと。

ウイルスバスター ビジネスセキュリティ 9.0の場合

⇒2016年6月末予定の次期Service Pack 3へのアップデートをすることにより対応可能です。

ウイルスバスター ビジネスセキュリティサービス 5.x

⇒現在提供されている最新版へのアップデートをすることにより対応可能です。

詳しくは開発者情報である「アラート/アドバイザリ ： 企業向けエンドポイント製品の「パストラバーサル脆弱性」、および「HTTPヘッダインジェクション脆弱性」について」をご参照くださいませ。

「ウイルスバスター　クラウド」の脆弱性情報

脆弱性情報

• アクセス制限不備
• 任意のスクリプト実行

発見されたシステム・バージョン

• ウイルスバスター クラウド 8
• ウイルスバスター クラウド 10

想定される影響

デフォルトの設定であれば本脆弱性の影響を受けないが、

①ウイルス感染などにより攻撃者がネットワーク内の既に侵入している

②ルーターの設定がウイルスバスターの内部使用ポート番号をインターネット越しに待ち受けるようになっている場合

のような一般的ではない状況下において遠隔の第三者によって端末内のファイルにアクセスされたり、任意のスクリプトを実行される可能性があるそうです。

対応方法

開発者情報を元に提供されている修正モジュールを適用してください。

脆弱性を修正したプログラムアップデートは順次行っていく、とのことです。

ウイルス対策ソフトの脆弱性情報だけにご利用の方は、早急な対策をお勧めします。