「Deep Security」などトレンド2製品に脆弱性 - 実証コードが公開済み

トレンドマイクロのセキュリティ対策製品「Trend Micro Deep Security」「Trend Micro Cloud One Workload Security」に複数の脆弱性が明らかとなった。すでに実証コードが公開されているという。

両製品においてLinux環境向けのエージェントに複数の脆弱性が存在することが判明したもの。すでに脆弱性の実証コードが公開されているという。Windows版は影響を受けない。

「CVE-2022-23120」はコードインジェクションの脆弱性。悪用されるとローカル環境において権限昇格が生じ、root権限を奪われるおそれがある。またディレクトリトラバーサル「CVE-2022-23119」を悪用されると任意のファイルを窃取されるという。

いずれも未アクティベート状態のエージェントへアクセスされた場合に影響を受ける。共通脆弱性評価システム「CVSSv3.1」のベーススコアはともに「7.0」。同社は脆弱性の重要度を「高」と評価している。

同社では、脆弱性の周知を目的にJPCERTコーディネーションセンターへ報告。利用者に対してアップデートが呼びかけられている。

（Security NEXT - 2022/01/25 ）ツイート