[SNS Advisory No.78] TrendMicro Virus Buster Corporate Edition Configuration File Disclosure Vulnerability

[snsadv@xxxxxxxxx (snsadv)]

----------------------------------------------------------------------
SNS Advisory No.78
TrendMicro Virus Buster Corporate Edition Configuration File 
Disclosure Vulnerability

Problem first discovered on: Thu, 08 July 2004
Published on: Tue, 07 Sept 2004
----------------------------------------------------------------------

脅威度:
-------
  低


概要:
-----
  Trend Micro 社製 ウイルスバスターコーポレートエディションに、攻撃者
  がリモートからウイルスに対してのポリシー定義を含む設定ファイルを閲覧
  できてしまう問題を発見しました。

  本問題は、情報処理推進機構(IPA) および JPCERT/CC による『情報システム
  等の脆弱性情報の届出制度』に従い処置されました。


問題:
-----
  Trend Micro 社製 ウイルスバスター コーポレートエディション は企業向け
  のウイルス対策ソフトウェアであり、Web ブラウザを介した管理コンソール
  からリアルタイムでのクライアントPCの状況確認、最新のコンポーネントへ
  のアップデートなどの機能を提供することができます。

  この Web 管理コンソールに問題があり、特定のURLにアクセスすることで
  Outbreak Prevent Policyが定義されている設定ファイルを閲覧することがで
  きます。これを利用することにより、ポリシー定義を迂回するウイルスを作成
  される可能性があります。

  本問題は、情報処理推進機構(IPA) および JPCERT/CC による『情報システム
  等の脆弱性情報の届出制度』に従い処置されました。
  http://jvn.jp/jp/JVN%23FF73142E.html


問題を確認したバージョン:
-------------------------
  ウイルスバスター コーポレートエディション 5.58


対策:
-----
  IIS の設定から、接続可能なクライアント PC を IP アドレスベースで制御することで
  脅威を緩和することができます。

  http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionId=9646
  http://www.trendmicro.co.jp/support/news.asp?id=565


発見者:
-------
  新井 悠 y.arai@xxxxxxxxx


免責:
-----
  このアドバイザリで示される情報は予告なしに改定されることがあり、かつ、あ
  るがままの形で提供されます。この情報を適用し生起される結果のリスクは利用
  者が負うものとし、株式会社ラックは一切の責任を負わないものとします。


参考資料:
---------
  脆弱性関連情報に関する届出について
  http://www.ipa.go.jp/security/vuln/report/index.html

  JVN#FF73142E: ウイルスバスターコーポレートエディションに脆弱性
  http://jvn.jp/jp/JVN%23FF73142E.html


再配布について:
---------------
  このアドバイザリの再配布は、下記条件を満たす限り自由です。

  発行元 URL として、以下の URL を明記する。 
  http://www.lac.co.jp/security/csl/intelligence/SNSadvisory/78.html

------------------------------------------------------------------
Secure Net Service(SNS) Security Advisory <snsadv@xxxxxxxxx>
Computer Security Laboratory, LAC  http://www.lac.co.jp/security/