プラットフォーム
other
コンポーネント
trend-vision-one
修正版
NA
CVE-2025-31282は、Trend Vision Oneのユーザーアカウントコンポーネントにおけるアクセス制御の不備です。この脆弱性を悪用されると、管理者権限を持つユーザーが、権限昇格を可能にするユーザーを作成できてしまう可能性があります。影響を受けるバージョンは特定されていませんが、現在ではバックエンドサービスで修正が適用されており、アクティブな脆弱性とは見なされていません。
この脆弱性は、攻撃者がTrend Vision Oneの管理権限を不正に取得する可能性を秘めています。攻撃者は、特権のないユーザーアカウントを作成し、そのアカウントのロールを変更することで、システム内の他のリソースへのアクセス権を獲得し、機密情報の窃取やシステムの改ざんといった攻撃を実行する可能性があります。この脆弱性の悪用により、組織全体のセキュリティが脅かされる可能性があります。類似の脆弱性は、権限昇格攻撃の起点として利用されることが多く、深刻な被害をもたらす可能性があります。
この脆弱性は、2025年4月2日に公開されました。現在、KEVリストには登録されていません。公開されているPoCは確認されていませんが、類似のアクセス制御の不備を悪用した攻撃事例が存在するため、注意が必要です。攻撃者による悪用が確認された場合は、速やかに対応する必要があります。
Organizations utilizing Trend Vision One, particularly those with legacy configurations or deployments where user account management practices may not adhere to security best practices, are at risk. Shared hosting environments where multiple administrators share access to the Trend Vision One platform could also be vulnerable.
disclosure
エクスプロイト状況
EPSS
0.13% (33% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性は既にバックエンドサービスで修正されているため、現時点ではアップデートが推奨されます。アップデートが困難な場合は、ユーザーアカウントの作成権限を厳格に制限し、不要な管理権限を持つユーザーアカウントを削除することで、リスクを軽減できます。また、アクセスログを監視し、異常なユーザーアカウントの作成やロール変更を検知する仕組みを導入することも有効です。WAFやIPSなどのセキュリティ対策を導入し、不正なアクセスを遮断することも検討してください。
Este problema ya ha sido solucionado en el servicio backend de Trend Vision One. No se requiere ninguna acción por parte del usuario.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-31282は、Trend Vision Oneのユーザーアカウントコンポーネントにおけるアクセス制御の不備であり、攻撃者が権限昇格を可能にするユーザーを作成できる可能性があります。
影響を受けるバージョンはNAですが、現在ではバックエンドサービスで修正が適用されているため、アクティブな脆弱性とは見なされていません。
アップデートを適用することが推奨されます。アップデートが困難な場合は、ユーザーアカウントの作成権限を制限し、アクセスログを監視するなどの対策を講じてください。
現時点では、公開されているPoCや悪用事例は確認されていませんが、類似の脆弱性を悪用した攻撃事例が存在するため、注意が必要です。
Trend Microのセキュリティアドバイザリページで確認できます。詳細はTrend Microの公式ウェブサイトを参照してください。