趋势科技修复企业安全产品中的多个漏洞风险通告
发布时间 2020-03-18漏洞编号和级别
CVE编号：CVE-2020-8467，危险级别：严重，CVSS分值：厂商自评：9.1，官方未评定
CVE编号：CVE-2020-8468，危险级别：高危，CVSS分值：厂商自评：8.0，官方未评定
CVE编号：CVE-2020-8470，危险级别：严重，CVSS分值：厂商自评：10，官方未评定
CVE编号：CVE-2020-8598，危险级别：严重，CVSS分值：厂商自评：10，官方未评定
CVE编号：CVE-2020-8599，危险级别：严重，CVSS分值：厂商自评：10，官方未评定
影响版本
Apex One (on premise) 2019
OfficeScan XG SP1
OfficeScan XG (non-SP)
漏洞概述
近日，趋势科技发布安全更新，修复了两个已在野外利用的0day和另外3个严重漏洞。概述如下：
CVE-2020-8467
Apex One和OfficeScan的迁移工具组件中的漏洞，可导致RCE，攻击需要用户身份认证。
CVE-2020-8468
Apex One和OfficeScan代理受到内容验证转义漏洞的影响，可允许攻击者操纵某些代理客户端组件，攻击需要用户身份认证。
CVE-2020-8470
rend Micro Apex One和OfficeScan服务器包含一个易受攻击的服务DLL文件，攻击者可以使用SYSTEM权限删除服务器上的任何文件。利用此漏洞不需要身份验证。
CVE-2020-8598
OfficeScan服务器包含易受攻击的服务DLL文件，远程攻击者可以使用SYSTEM权限在受影响的安装上执行任意代码。利用此漏洞不需要身份验证。
CVE-2020-8599
OfficeScan服务器包含一个易受攻击的EXE文件，远程攻击者可以通过该文件将任意数据写入受影响安装的任意路径并绕过Root登录。利用此漏洞不需要身份验证。
漏洞验证
暂无PoC/EXP。
修复建议
目前官方已发布最新版本修复该漏洞，链接：https://success.trendmicro.com/solution/000245571。
参考链接
https://www.zdnet.com/article/two-trend-micro-zero-days-exploited-in-the-wild-by-hackers/
京公网安备11010802024551号