JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は11月10日、「JVNVU#98040889: Trend Micro Apex OneおよびTrend Micro Apex One SaaSにおける複数の脆弱性（2023年11月）」において、トレンドマイクロのエンドポイントセキュリティ製品「Trend Micro Apex One」および「Trend Micro Apex One SaaS」に複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、低レベルのコード実行権限を保持している攻撃者がローカルで権限昇格できる可能性があるとされており注意が必要。

  • JVNVU#98040889: Trend Micro Apex OneおよびTrend Micro Apex One SaaSにおける複数の脆弱性（2023年11月）

    JVNVU#98040889: Trend Micro Apex OneおよびTrend Micro Apex One SaaSにおける複数の脆弱性（2023年11月）

脆弱性に関する情報は次のページにまとまっている。

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

  • Trend Micro Apex One 2019
  • Trend Micro Apex One SaaS

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

  • Trend Micro Apex One 2019 (SP1 CP 12526)
  • Trend Micro Apex One SaaSは2023年9月のメンテナンス(エージェント：14.0.12737)において修正済み

今回修正された脆弱性に関する情報は次のとおり。

  • CVE-2023-47192 - セキュリティエージェントにおいて、リンク解釈に不具合
  • CVE-2023-47193からCVE-2023-47199 - セキュリティエージェントにおいて、同一生成元ポリシ違反
  • CVE-2023-47200およびCVE-2023-47201 - セキュリティエージェントのプラグインマネージャモジュールにおいて、同一生成元ポリシー違反
  • CVE-2023-47202 - マネジメントコンソールにおいて、ローカルファイルインクルードの不具合

これら脆弱性はいずれも深刻度が重要(Important)とされており注意が必要。トレンドマイクロはこれら脆弱性を悪用するには該当製品の端末にアクセスする必要があるとして、信頼されたネットワークからのみアクセスを許可することでリスクを軽減できるとしている。また、Trend Micro Apex One 2019を利用しているユーザーに対し、同社が公開している情報に基づいて最新のバージョンへアップグレードすることを推奨している。