行业新闻与博客

趋势科技已经发现并修复了其产品中的几个关键漏洞，并警告其中两个正在被野外利用。

该安全巨头在 Windows 上发布了 Apex One 和 OfficeScan XG 的补丁程序，敦促客户“尽快”升级到最新版本。

CVE-2020-8467 是趋势科技 Apex One 和 OfficeScan 迁移工具组件中的关键零日漏洞。它可能允许远程攻击者在受影响的计算机上执行任意代码。

CVE-2020-8468 的等级为 CVSS 8.0（高），被描述为 OfficeScan 和 Apex One 代理中的“内容验证转义漏洞，它可能允许攻击者操纵某些代理客户端组件”。

这两种零时差攻击都首先需要用户认证。

其余三个漏洞都被评为严重。CVE-2020-8470 是 Apex One 和 OfficeScan 服务器中的错误，或更具体地说，是易受攻击的服务 DLL 文件中的错误，该漏洞可能允许攻击者使用系统级特权删除服务器上的任何文件。

CVE-2020-8598 也源自易受攻击的服务 DLL 文件，但这一次，它可能允许远程攻击者使用系统级特权在受影响的安装上执行任意代码。

CVE-2020-8599 与 Apex One / OfficeScan 服务器上的一个易受攻击的 exe 文件有关，该文件可能允许远程攻击者“将任意数据写入受影响的安装上的任意路径并绕过 root 登录。”

无需身份验证就可以利用这三个漏洞。

“利用这些类型的漏洞通常要求攻击者可以（物理或远程）访问易受攻击的计算机。鼓励客户检查并确保产品服务器和管理控制台适当地限于受信任的网络和 / 或用户，” 安全更新指出。

“除了及时应用补丁和更新的解决方案之外，还建议客户检查对关键系统的远程访问，并确保策略和外围安全性是最新的。”

趋势科技研究发现了有问题的漏洞。

在比大多数人更关注确保产品无错误的行业中，这样的发现并不罕见。几年前，在 11 家独立的安全厂商的产品中发现了缺陷。

本文由机器译制：https://www.infosecurity-magazine.com/news/trend-micro-finds-and-fixes/