Q&A | Trend Micro Business Support

アラート/アドバイザリ : Trend Micro Mobile Securityに関するCVE-2023-32521他複数の脆弱性について（2023年5月）

- 更新日:
- 12 May 2023
- 製品/バージョン:
- Trend Micro Mobile Security 9.8
- Trend Micro Mobile Security 9.8
- OS:
- Windows

脆弱性の影響を受ける製品/コンポーネント/ツール

該当する脆弱性	製品/コンポーネント/ツール	バージョン	CVSS3.0 スコア	深刻度
CVE-2023-32521	Trend Micro Mobile Security	9.8 SP5	9.1	高
CVE-2023-32522			8.1	高
CVE-2023-32523および32524			6.0	中
CVE-2023-32525および32526			6.5	中
CVE-2023-32527および32528			7.7	高

脆弱性の概要

CVE-2023-32521: 認証されていないパストラバーサルによる任意のファイル削除の脆弱性
CVSSv3.1: 9.1: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Trend Micro Mobile Security 9.8 SP5の特定のモジュールに、認証されていない攻撃者が任意のファイルを削除することを可能にする脆弱性が存在します。

CVE-2023-32522: 認証されたパストラバーサルによる任意のファイル削除の脆弱性
CVSSv3.1: 8.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Trend Micro Mobile Security 9.8 SP5の特定のモジュールに、認証されたリモート攻撃者が任意のファイルを削除することを可能にする脆弱性が存在します。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。

CVE-2023-32523 および 32524: 認証バイパスの脆弱性
ZDI-CAN-19721 and ZDI-CAN-19722
CVSSv3: 6.0: AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:L
Trend Micro Mobile Security 9.8 SP5で認証バイパスによるリモートからのアクセスが可能なウィジェットが存在します。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。

CVE-2023-32525 および 32526: 許可されていない権限でファイルをアップロードできる脆弱性
ZDI-CAN-20179 and ZDI-CAN-20182
CVSSv3: 6.5: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Trend Micro Mobile Security 9.8 SP5でリモート攻撃者が任意のファイルを作成できるウィジェットが存在します。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。

CVE-2023-32527 および 32528: ローカルファイルインクルージョンによるリモートからの任意のコマンド実行
ZDI-CAN-20180 and ZDI-CAN-20181
CVSSv3: 7.7: AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:L
Trend Micro Mobile Security 9.8 SP5にリモートコード実行を可能にする脆弱性が含まれる.phpファイルが存在します。この脆弱性を悪用するには、攻撃者は低レベルでのコードの実行権限を保持している必要があります。

対処方法

製品/コンポーネント/ツール	バージョン	修正	Readme
Trend Micro Mobile Security	9.8	SP5 Critical Patch 5 (Build 3284)	Readme

「修正」に記載されている内容は、掲載された脆弱性の対応に必要となる公表時点でのバージョン、ビルド番号です。より新しいバージョン、ビルドが公開されている場合は、最新のものを適用してください。
弊社では、広く最新の脅威に対応するために、常に最新のバージョンの製品をご利用いただくことを推奨しています。古いバージョンをお使いのお客様は新しいバージョンへのアップグレードをご検討ください。