Ago 13, 2021 Massimiliano Monti News, Vulnerabilità 0

I prodotti Apex One e Apex One as a service sono soggetti a un attacco che sfrutta una vulnerabilità Zero Day. Ne dà notizia la stessa Trend Micro.

Trend Micro ha rilasciato lo scorso 28 luglio nuove patch di sicurezza per i suoi prodotti Apex One e Apex One as a Service. Queste patch risolvono alcune vulnerabilità collegate all’incorretta assegnazione dei privilegi, che poteva portare a un’escalation. Le vulnerabilità potevano permettere anche il bypass dell’autenticazione e la possibilità di caricare file in modo incontrollato, come possiamo leggere nel bollettino di sicurezza rilasciato dall’azienda.

Le vulnerabilità sono state scoperte e segnalate da alcuni ricercatori indipendenti, ma non prima che alcune di queste venissero sfruttate nel mondo reale. I dettagli forniti non sono molti, ma almeno due delle quattro vulnerabilità risolte dalle patch sono state sfruttate con successo in almeno un caso ciascuna. Si tratta della CVE-2021-36741, relativa all’upload arbitrario di file, e della CVE-2021-36742, relativa alla scalata dei privilegi locali.

Le raccomandazioni di Trend Micro su Apex One

Nel caso della versione as a Service l’aggiornamento è stato effettuato automaticamente dall’azienda, mentre nel caso della versione on premises naturalmente la raccomandazione principale è quella di effettuare gli ultimi aggiornamenti al più presto.

Tuttavia, sempre secondo quanto segnalato, gli exploit di questo tipo richiedono un accesso, fisico o remoto, a una macchina vulnerabile. In teoria quindi, se le macchine si trovano all’interno di una infrastruttura correttamente protetta, il rischio di attacco è molto contenuto.

Per l’azienda si tratta del secondo problema di sicurezza di una certa entità che fa seguito alla vulnerabilità CVE-2020-24557, utilizzata da alcuni attaccanti per ottenere, attraverso il suo prodotto antivirus, privilegi amministrativi nei sistemi Windows. Questa vulnerabilità, oltre al già citato Apex One, affliggeva anche il prodotto OfficeScan XG ed è stata risolta con gli aggiornamenti rilasciati ad aprile 2021 per tutte le versioni dei prodotti.