脆弱性の影響を受ける製品/コンポーネント/ツール

脆弱性の概要

CVE-2025-49154:  不適切なアクセス制御の脆弱性
CVSSv3.1: 8.7 AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H
Weakness: CWE-284: 不適切なアクセス制御
Apex One及びApex One SaaSのアクセス制御に脆弱性があり、ローカルの攻撃者が重要なメモリマップファイルを上書きできる可能性があります。これにより影響を受けたシステムのセキュリティと安定性に深刻な影響を与える可能性があります。
この脆弱性を悪用するには、対象のシステムで低い権限でコードを実行できる必要があります。
 

CVE-2025-49155:  Data Loss Preventionの制御されていない検索パスの要素によるリモートコード実行の脆弱性
ZDI-CAN-24571
CVSSv3.1: 8.8: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Weakness: CWE-427: 制御されていない検索パスの要素
Trend Micro Apex One Data Loss Preventionモジュールの制御されていない検索パスにより、影響を受けたシステムで攻撃者は遠隔でコード実行を行える可能性があります。
 

CVE-2025-49156:  スキャンエンジンにおけるリンク解釈の問題によるローカル権限昇格の脆弱性
ZDI-CAN-24973
CVSSv3.1: 7.0: AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Weakness: CWE-269: 不適切な権限管理
Apex One 及びApex One SaaSのスキャンエンジンにおいて、リンク解釈の問題による脆弱性が確認されました。この脆弱性により、ローカルでの権限昇格を行うことができる可能性があります。
この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。
 

CVE-2025-49157:  ダメージクリーンナップエンジンにおけるリンク解釈の問題によるローカル権限昇格の脆弱性
ZDI-CAN-25273
CVSSv3.1: 7.8 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Weakness: CWE-269: 不適切な権限管理
Apex One 及びApex One SaaSのダメージクリーンナップエンジンにおいて、リンク解釈の問題による脆弱性が確認されました。この脆弱性により、ローカルでの権限昇格を行うことができる可能性があります。
この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。
 

CVE-2025-49158:  セキュリティエージェントの制御されていない検索パスの要素によるローカル権限昇格の脆弱性
ZDI-CAN-25771
CVSSv3.1: 6.7 AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H
Weakness: CWE-427: 制御されていない検索パスの要素
セキュリティエージェントの制御されていない検索パスにより、ローカルでの権限昇格を行うことができる可能性があります。
この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。

対処方法

「修正」に記載されている内容は、掲載された脆弱性の対応に必要となる公表時点でのバージョン、ビルド番号です。より新しいバージョン、ビルドが公開されている場合は、最新のものを適用してください。
弊社では、広く最新の脅威に対応するために、常に最新のバージョンの製品をご利用いただくことを推奨しています。古いバージョンをお使いのお客様は新しいバージョンへのアップグレードをご検討ください。

軽減要素

この種の脆弱性を悪用するには、一般的に攻撃者が脆弱な端末にアクセスできることが必要です。 信頼されたネットワークからのみアクセスを許可することで、本脆弱性が利用される可能性を軽減することができます。
トレンドマイクロは、お客様にできるだけ早く最新のビルドにアップデートすることをお勧めしています。
 

参照情報

• ZDI-CAN-24571
• ZDI-CAN-24973
• ZDI-CAN-25273
• ZDI-CAN-25771

英語版FAQ: https://success.trendmicro.com/en-US/solution/KA-0019917

更新情報

• 2025年  6月10日　新規公開