トレンドマイクロ、企業向けウイルス対策製品にバッファオーバフローの脆弱性

トレンドマイクロは、「ウイルスバスター コーポレートエディション」や「Trend Micro Control Manager」に脆弱性が存在することを明らかにし、修正用プログラムを公開した。

[ITmedia]

　トレンドマイクロは2月8日、同社の企業向けウイルス対策製品「ウイルスバスター コーポレートエディション」やその集中管理ツール「Trend Micro Control Manager」にバッファオーバーフローの脆弱性が存在することを明らかにし、修正用プログラムを公開した。

　同社によると、脆弱性が存在するのはウイルスバスター コーポレートエディション 6.5／7.0と、中小企業向けの対策ソフト「ウイルスバスター ビジネスセキュリティ 3.0」、管理ツールであるTrend Micro Control Manager 3.0。これらの製品に含まれるISAPIモジュールにバッファオーバフローの脆弱性が存在する。

　この脆弱性はセキュリティ企業の米iDefenseが2005年12月に指摘したもの。元はといえば、マイクロソフトのMFC（Microsoft Foundation Classes）のスタティックライブラリに起因する問題だ。MFCを用いて作成されたISAPIでは、サイズの大きなリクエストを受け取るとバッファオーバーフローが発生し、システムがDoS状態に陥る可能性がある。

　トレンドマイクロでは各製品向けに修正プログラムを提供し、該当するユーザーに適用を呼びかけている。なおiDefenseによると、即座の適用が困難な場合の回避策としては、MicrosoftのURLScanツールを用いて不正なリクエストを拒否するようにするか、ビルド環境をMFCの問題を修正したVisual C++ 6.0 Service Pack 6にアップグレードすることが挙げられるという。