Symantec、法人向けセキュリティ製品多数で脆弱性を修正

悪用された場合、エージェントに任意のコードを不正に挿入される可能性も指摘されている。

[鈴木聖子，ITmedia]

　米Symantecは6月7日、法人向けセキュリティ製品に存在していた複数の脆弱性を修正したことを明らかにした。米US-CERTも、脆弱性を悪用されればシステムを制御される恐れがあるとして、管理者に対応を促している。

　Symantecのセキュリティ情報によると、影響を受けるのは「Embedded Security」「Critical System Protection」「Data Center Security」の各製品。

脆弱性の影響を受ける製品のバージョン

　脆弱性を悪用された場合、権限を昇格されたりエージェントのセキュリティ対策を迂回されたりする恐れがあるほか、エージェントに任意のコードを不正に挿入される可能性も指摘されている。

　危険度は中〜高と評価され、共通脆弱性評価システム（CVSS）のベーススコアは最も高いもので7.6（最大値は10.0）。Symantecは各製品で脆弱性修正のための更新版を公開してアップデートを呼び掛けるとともに、すぐには更新できない場合のための回避策も紹介している。

　現時点でこれらの脆弱性を突いた攻撃の発生は確認されていないという。