ビジネスサポートポータルアカウントでログイン
アラート/アドバイザリ: CVE-2012-2995 クロスサイトスクリプティング(XSS)の脆弱性について  

アラート/アドバイザリ: CVE-2012-2995 クロスサイトスクリプティング(XSS)の脆弱性について

    • 更新日:
    • 20 Nov 2017
    • 製品/バージョン:
    • InterScan Messaging Security Suite 7.0
    • InterScan Messaging Security Suite 7.1
    • InterScan Messaging Security Virtual Appliance 7.0
    • InterScan Messaging Security Virtual Appliance 8.0
    • InterScan Messaging Security Virtual Appliance 8.2
    • OS:
    • Linux すべて
    • Solaris すべて
    • Windows すべて
概要

Common Vulnerabilities and Exposures(CVE) より、InterScan Messaging Security Suite、InterScan Messaging Security Virtual Appliance、InterScan Messaging Security Applianceにおいて、クロスサイトスクリプティング(XSS)の脆弱性について報告されました。

CVE-2012-2995: Vulnerability Summary CVE-2012-2995 (英語)
US-CERT Vulnerability Note VU#471364 - Trend Micro InterScan Messaging Security Suite is vulnerable to XSS and CSRF vulnerabilities(英語)
JVNVU#471364: InterScan Messaging Security Suite に複数の脆弱性
この脆弱性を悪用した攻撃を防ぐために、製品にて行っておくべき対策はありますか。

詳細
Public

■問題概要、影響範囲

クロスサイトスクリプティングとは、Webサーバが入力されたデータをそのままブラウザに返している場合に発生する問題です。
この動作を利用することにより、攻撃者はWeb閲覧者に任意のスクリプトを実行させる可能性があります。

この脆弱性が利用された場合、該当製品管理コンソール閲覧のためにブラウザを実行しているローカルマシン上で何らかのスクリプト等が実行される可能性があります。


■脆弱性が利用される条件

・正規の製品 管理者が管理コンソールにログオン中
かつ
・攻撃者が何らかの方法で準備した、追加されたスクリプトタグ等を含むURLを、ログオンユーザのマシン上でアクセスさせた場合


■問題の発生する製品、バージョン
- InterScan Messaging Security Suite 7.1 Windows版
- InterScan Messaging Security Suite 7.0/7.1 Linux版
- InterScan Messaging Security Suite 7.0 Solaris版
- InterScan Messaging Security Virtual Appliance 7.0/8.0/8.2
InterScan Messaging Security Appliance7.0

■対処
以下の対策により、この脆弱性が利用されるリスクを低くすることができます。

(1)ファイアウォールなどで、外部からの管理コンソール (8445/tcp) へのアクセスを遮断し、必要に応じて社内イントラネットからのアクセスを制限してください。
(2)管理コンソールログオン時のタイムアウト値を短くします。
変更方法については以下のFAQの順を確認してください。

管理コンソールタイムアウト値の変更方法


以上で操作は完了です。

関連する製品Q&A

アラート/アドバイザリ: CVE-2012-2996 クロスサイトリクエストフォージェリ(CSRF)の脆弱性について


Premium
Internal
評価:
カテゴリ:
動作トラブル; 操作方法/設定
Solution Id:
1314146
ご提案/ご意見
このソリューションはお役に立ちましたか?

フィードバックありがとうございました!

いただいたご提案/ご意見に関して、トレンドマイクロから詳細確認のため、Eメールを送付させていただく場合がありますので、Eメールアドレスを入力してください:
入力いただいたEメールアドレスはソリューション改善のためだけに使用いたします.

*こちらに技術的なご質問などをいただきましてもご返答する事ができません.

何卒ご了承いただきますようお願いいたします.


To help us improve the quality of this article, please leave your email here so we can clarify further your feedback, if neccessary:
We will not send you spam or share your email address.

*This form is automated system. General questions, technical, sales, and product-related issues submitted through this form will not be answered.


ユーザーガイド