脆弱性の影響を受ける製品/コンポーネント/ツール
| 該当する脆弱性 | 製品/コンポーネント/ツール | バージョン | CVSS3.0 スコア | 深刻度 |
|---|---|---|---|---|
| CVE-2025-49844 | Apex One Endpoint Sensor | All | 6.3 | 中 |
注意：Apex Oneは、インストール時もしくはコンソールを通してiESの機能を有効化しない限りは、Redis のインストールを実施しません。iES機能を一切有効化したことがないお客様は本脆弱性の影響を受けません。
Redis がインストールされているかどうかについては以下のどちらかの方法で確認を行うことができます。
- コマンドプロンプトでコマンドを実行して、Redis サービスがインストールされているかを確認する。
sc query “Redis”
- インストールフォルダ配下に、iESのディレクトリが作成されているか確認する
<Apex One サーバのインストールパス>\iServiceSrv\iES ※
※デフォルトのインストールパスは、 C:\Program Files (x86)\Trend Micro\Apex One\ です。
脆弱性の概要
Trend Micro Apex One Endpoint Sensor (iES) サーバは、3rd パーティコンポーネントである Redisを利用しております。この Redis において、Luaスクリプトを悪用してリモートコード実行を行うことができる脆弱性が確認されました。
この脆弱性自体は、CVE-2025-49844 として公開されており、深刻度は緊急（Critical）として評価されておりますが、iES サーバにおけるRedisは限定的に利用されているため、本製品における脆弱性の深刻度は 中（medium: 6.5）として評価しております。
iESサーバにおける本脆弱性のCVSSスコアは下記の通りです。
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L
対処方法
Trend Micro は、2026年1月を目途に、Critical Patch (CP) を公開する予定です。
現時点で本脆弱性の影響を回避したい場合には以下のツールを実行してください。
本ツールにより、Redis に関する設定が変更され、脆弱性の影響を回避することができます。
(Zip SHA256: 35dbf52a56a83b3ca789377fd331fb9ff41e0c4c5ff63e9b87711cfcf6efebd0)
このツールの実行により、IESとRedisのサービスは一時的に停止され、セキュリティ設定の更新の後再度自動で再起動されます。
ツールの実行は1度で十分です。
参照情報
- CVE-2025-49844
更新情報
- 2025年12月17日 公開