ニュース

企業向け「ウイルスバスター」製品に再びディレクトリトラバーサルの脆弱性

脆弱性をついた攻撃も確認、できるだけ早く“Critical Patch”の適用を

樽井秀人

2019年10月28日 12:15

トレンドマイクロのサポート情報

　トレンドマイクロ（株）は10月28日、企業向け「ウイルスバスター」製品でディレクトリトラバーサルの脆弱性（CVE-2019-18187）が発見されたことを明らかにした。本脆弱性をついた攻撃も確認されており、できるだけ早く“Critical Patch（CP）”を適用するよう呼び掛けている。

　同社によると、「ウイルスバスターコーポレートエディション」のv11.0 SP1/XG/XG SP1には、パスの検証処理の不備により、本来アクセスできないはずのフォルダーへファイルをアップロードできてしまう、いわゆるディレクトリトラバーサルの脆弱性が存在する。最悪の場合、悪意のあるZIPファイルの展開でシステムが書き換えられ、管理コンソールで使用しているWebサービスのアカウントで任意コードを実行される可能性がある。

　JVNの脆弱性レポート（JVNVU#96213168）によると、本脆弱性の評価は“CVSS v3”の基本値で“8.2”、“CVSS v2”の基本値で“5.2”。問題への対策を実施するには、以下のパッチを適用する必要がある。

ウイルスバスターコーポレートエディション XG Service Pack 1 Critical Patch (ビルド 5427)
ウイルスバスターコーポレートエディション XG Patch 1 Critical Patch (ビルド 1962)
ウイルスバスターコーポレートエディション 11.0 Service Pack 1 Critical Patch (ビルド 6638)

　同社の企業向け製品に関しては、先月もディレクトリトラバーサルの脆弱性を悪用した攻撃事例が確認されている。