Trend Micro ServerProtect for Linux 3.0 Critical Patch (build 1519) 公開のお知らせ:サポート情報 : トレンドマイクロ

IT セキュリティ

（情報元のブックマーク数）

Trend Micro ServerProtect for Linux 3.0 Critical Patch (build 1519) リリース。XSSな脆弱性対応も入ってる模様。

Trend Micro ServerProtect for Linux 3.0 Critical Patch (build 1519) を以下の日程で公開いたします。

■ 公開開始日
2017年5月9日(火)


■修正内容

Trend Micro ServerProtect for Linux 3.0 Critical Patch (build 1519) の主な修正内容は以下のとおりです。

ServerProtectのモジュールがクロスサイトスクリプティング (XSS) の脆弱性の影響を受ける問題が修正されます。
アップデートサーバとの通信が初期設定で暗号化されていない問題が修正されます。


詳細につきましては付属のReadmeをご覧ください。

尚、本Critical Patchを適用するには、事前に次のプログラムがインストールされている ことが必要です。

■入手方法
本製品は次のページからダウンロードできます。
「最新版ダウンロードページ ： ServerProtect for Linux」


■導入手順
付属のReadmeファイルをご覧ください。

サポート情報 : トレンドマイクロ 
本Critical Patchは、次の各問題を修正します。

   問題1:
     ServerProtectの「log_management.cgi」ファイルがクロスサイトスクリプティン
     グ (XSS) の脆弱性の影響を受ける問題

   修正1:
     本Critical Patchの適用後は、HTTP GET/POSTメソッドのデータが正しいフォー
     マットであるかを確認するメカニズムが追加され、この問題が修正されます。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題2:
     ServerProtectの「notification.cgi」ファイルがクロスサイトスクリプティング 
     (XSS) の脆弱性の影響を受ける問題

   修正2:
     本Critical Patchの適用後は、HTTP GET/POSTメソッドのデータが正しいフォー
     マットであるかを確認するメカニズムが追加され、この問題が修正されます。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題3:
     アップデートサーバとの通信が初期設定で暗号化されていない問題

   修正3:
     本Critical Patchの適用後は、アップデートサーバでHTTPSを使用して通信を暗号
     化できるようになり、この問題が修正されます。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題4:
     アップデートサーバからダウンロードしたパッケージで、デジタル署名確認およ
     びサーバ証明書の検証が初期設定で実行されない問題

   修正4:
     本Critical Patchの適用後は、アップデートサーバからコンポーネントをダウン
     ロードする際に、デジタル署名確認機能とサーバ証明書の検証機能を初期設定で
     有効にすることにより、この問題が修正されます。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題5:
     ユーザが隔離ディレクトリに任意のパスを設定または追加できる問題

   修正5:
     本Critical Patchの適用後は、隔離ディレクトリのパスを特定のパスのみに制限
     することで、この問題が修正されます。

   手順5:
     隔離ディレクトリに「/tmp」フォルダを設定または追加するには、次の手順に従っ
     てください。

     1. 「/opt/TrendMicro/SProtectLinux」フォルダにある「tmsplx.xml」ファイルを
        テキストエディタで開きます。

     2. 「tmsplx.xml」の [Scan] セクションで「MoveToWhiteList」文字列を探し、
        初期設定の文字列が次のようになっていることを確認します。

        <P Name="MoveToWhiteList" Value=
        "/opt/TrendMicro/SProtectLinux/SPLX.Quarantine"/>

     3. 値に「:/tmp」を追加します。

        <P Name="MoveToWhiteList" Value=
        "/opt/TrendMicro/SProtectLinux/SPLX.Quarantine:/tmp"/>

        注意: 「:/tmp」を削除すると制限が解除されます。

     4. 変更内容を保存し、ファイルを閉じます。
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   問題6:
     ユーザがバックアップディレクトリに任意のパスを設定または追加できる問題

   修正6:
     本Critical Patchの適用後は、バックアップディレクトリのパスを特定のパスのみ
     に制限することで、この問題が修正されます。

   手順6:
     バックアップディレクトリに「/tmp」フォルダを設定または追加するには、次の手
     順に従ってください。

     1. 「/opt/TrendMicro/SProtectLinux」フォルダにある「tmsplx.xml」ファイルを
        テキストエディタで開きます。

     2. 「tmsplx.xml」の [Scan] セクションで「SaveToWhiteList」文字列を探し、
        初期設定の文字列が次のようになっていることを確認します。

        <P Name="SaveToWhiteList" Value=
        "/opt/TrendMicro/SProtectLinux/SPLX.Backup"/>

     3. 値に「:/tmp」を追加します。

        <P Name="SaveToWhiteList" Value=
        "/opt/TrendMicro/SProtectLinux/SPLX.Backup:/tmp"/>

        注意: 「:/tmp」を削除すると制限が解除されます。

     4. 変更内容を保存し、ファイルを閉じます。

https://app.trendmicro.co.jp/SupportNews/NewsDetail.aspx?id=2892