SDPFクラウド/サーバーManaged Anti-Virus/Managed Virtual Patch/Managed Host-based Security Packageでご利用いただいているAgentの脆弱性について
クラウド/サーバー
2022年1月19日 (2022年1月19日:更新）
平素は、NTTコミュニケーションズ Smart Data Platform(SDPF)をご利用いただき、誠にありがとうございます。
SDPFクラウド/サーバーのホスト型セキュリティでご提供しているAgentにおいて、以下の脆弱性が確認されましたので、お知らせいたします。
対象メニューおよび対象バージョンをご利用中のお客さまにおかれましては、以下に示す対策方法等をご確認の上、ご対応いただくことをお勧めいたします。
■概要
〇Linux版Agentにおけるディレクトリトラバーサルおよびコードインジェクションの脆弱性
【CVE-2022-23119】
Host-Based SecurityでHBS管理サーバに接続（登録）していないLinux系Agentをご利用している環境において
攻撃者がディレクトリトラバーサルの脆弱性を悪用することにより、任意のファイルを読み取られる可能性があります。
【CVE-2022-23120】
〇Linux版Agentにおけるコードインジェクションの脆弱性
Host-Based SecurityでHBS管理サーバに接続（登録）していないLinux系Agentをご利用している環境において
攻撃者がコードインジェクションによる権限昇格を悪用することにより、任意のコードをrootとして実行することができ、
データの改ざんやプログラムの改変などの影響が発生する可能性があります。
■脆弱性の条件
この脆弱性を利用するためには、次の条件を満たす必要があります。
・Deep Security Linux版Agent11.0.0-2256 未満のバージョン
・HBS管理サーバに接続（登録）していないLinux版Agent
※以前にサービスを利用して接続解除している場合やバックアップシステムで登録していないAgentなど
※Windows版Agentは本脆弱性の影響は受けません
※HBS管理サーバに登録されているAgentは本脆弱性の影響は受けません
■対象サービス
ホスト型セキュリティ
・Managed Anti-Virus
・Managed Virtual Patch
・Managed Host-based Security Package
■対象となるユーザ
以前、Host-Based Securityをご利用していた環境
現在、Host-Based Securityをご利用中、かつHBS管理サーバに接続を解除している環境
ご利用のコンピュータにAgentをインストールしたただけの環境
■対策
セキュリティコントロールパネルで入手可能となる最新版で対策可能です。
〇Linux版Agentバージョン:
Deep Security Agent 11.0.0-2256（2022/1/19公開）
※バージョン9.6をご利用の環境は、すでにサポート終了しているバージョンとなります。
このバージョンをご利用の方は管理サーバに接続（登録）していてもアップデートを実施して下さい。
※現在登録している場合、将来、接続解除を検討しているシステムでは、利用停止のタイミングでAgentをアンインストールしてください
■Agentアップグレードの注意点
・Agentアップグレードの手順の詳細は以下のURLをご参照ください。
https://sdpf.ntt.com/services/docs/host-based-security/tutorials/rsts/security/operation/host-based_security/agent_upgrade_delivery.html
・アップグレード後は、セキュリティコントロールパネルでAgentのアップグレードが完了していることをご確認下さい。
※サポート終了バージョンをご利用している場合は、アップグレードに関する問い合わせは対応できません。
※サポート終了バージョンご利用の場合は一度、AgentのアンインストールとOS再起動、最新版での再インストールをお願いします。
■Agentアンインストール手順
https://sdpf.ntt.com/services/docs/host-based-security/tutorials/rsts/security/operation/host-based_security/agent_uninstall.html
今後ともお客様にとってよりよいサービスをご提供できるよう努めてまいりますので、引き続きご愛顧下さいますよう何卒宜しくお願い致します。