Trusted DesignCVE-2021-36741 の詳細
CVEの情報
説明:
An improper input validation vulnerability in Trend Micro Apex One, Apex One as a Service, OfficeScan XG, and Worry-Free Business Security 10.0 SP1 allows a remote attached to upload arbitrary files on affected installations. Please note: an attacker must first obtain the ability to logon to the product�s management console in order to exploit this vulnerability.
CVE更新日: 2021-07-29 20:15:07.620000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.049510000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-36741について、以下の観点で解説します。
1. 脆弱性の概要
Trend Microの複数の企業向けエンドポイントセキュリティ製品に存在する、不適切な入力検証の脆弱性です。これにより、認証されたリモート攻撃者が任意のファイルをアップロードできる可能性があります。攻撃を成功させるためには、攻撃者はまず製品の管理コンソールにログインする能力を取得する必要があります。
この脆弱性は、CWE-434（危険な種類のファイルの無制限アップロード） およびCWE-20（不適切な入力確認） として分類されています。
1.1 影響
本脆弱性が悪用された場合、機密データへの不正アクセス、システム整合性の操作、サービス可用性の妨害、および影響を受けるサーバー上でのリモートコード実行につながる可能性があります。 機密性、完全性、可用性への影響は高と想定されています。
トレンドマイクロは、この脆弱性がCVE-2021-36742と組み合わせて攻撃に利用されていることを確認しており、これによりローカルでの権限昇格が発生する可能性があります。
1.2 深刻度
CISA (Cybersecurity and Infrastructure Security Agency) の既知の悪用された脆弱性カタログ (Known Exploited Vulnerabilities Catalog) に2021年11月3日に追加されており、実際に悪用が確認されている脆弱性です。 これは、単にCVSSスコアが高いだけでなく、実際に攻撃に利用されていることを示しており、早急な対策の必要性が非常に高いことを意味します。
2. 対象となる環境
2.1 影響を受ける製品およびバージョン
以下のトレンドマイクロ製品およびバージョンが影響を受けます。
影響を受けるOSバージョン: 不明 (上記製品が稼働するOSに依存しますが、具体的なOSバージョンの指定はありません。)
2.2 影響を受ける設定
攻撃者は、影響を受ける製品の管理コンソールにログインできる権限を事前に取得している必要があります。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
トレンドマイクロから提供されている公式のセキュリティパッチを適用するか、修正済みのバージョンにアップグレードしてください。
具体的なパッチは以下の通りです。
製品のベンダーの指示に従い、必要なアップデートを適用してください。
4.2 暫定回避策（緩和策）
参照したサイト