Uma vulnerabilidade de controle de acesso quebrado, previamente descoberta no componente Funções de Usuário do Trend Vision One, poderia ter permitido que um administrador criasse usuários que então poderiam alterar a função da conta,
Plataforma
other
Componente
trend-vision-one
Corrigido em
NA
A vulnerabilidade de controle de acesso quebrado, identificada como CVE-2025-31283, afeta o componente User Roles do Trend Vision One. Essa falha permitiu que um administrador criasse usuários com a capacidade de modificar suas próprias permissões, levando à escalação de privilégios. A vulnerabilidade impacta versões do Trend Vision One menores ou iguais a NA, mas já foi corrigida no serviço de backend.
Impacto e Cenários de Ataque
Um atacante explorando essa vulnerabilidade poderia, inicialmente, criar uma conta de usuário com privilégios limitados. Em seguida, utilizando a falha no controle de acesso, o atacante poderia alterar a role dessa conta para uma role administrativa, obtendo acesso irrestrito ao sistema Trend Vision One. Isso permitiria a visualização, modificação e exclusão de dados confidenciais, a instalação de malware e a realização de outras ações maliciosas com total impunidade. A escalação de privilégios resultante pode comprometer a integridade e a confidencialidade dos dados protegidos pelo Trend Vision One.
Contexto de Exploração
A vulnerabilidade CVE-2025-31283 foi divulgada em 02 de abril de 2025. Não há evidências de exploração ativa em campanhas públicas no momento da divulgação. A ausência de um fix específico indica que a correção foi implementada no backend, e a vulnerabilidade não é mais considerada ativa. Não foi adicionada ao KEV (CISA Known Exploited Vulnerabilities).
Quem Está em Riscotraduzindo…
Organizations using Trend Vision One, particularly those with multiple administrators or complex user role configurations, are at risk. Legacy installations that have not been regularly updated or patched are also vulnerable. Shared hosting environments utilizing Trend Vision One should be carefully monitored for suspicious user activity.
Linha do Tempo do Ataque
- Disclosure
disclosure
Inteligência de Ameaças
Status do Exploit
EPSS
0.13% (percentil 33%)
CISA SSVC
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Necessária — a vítima deve abrir um arquivo, clicar em um link ou visitar uma página.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Baixo — acesso parcial ou indireto a alguns dados.
- Integrity
- Baixo — o atacante pode modificar alguns dados com alcance limitado.
- Availability
- Nenhum — sem impacto na disponibilidade.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
Embora a vulnerabilidade já tenha sido corrigida no serviço de backend do Trend Vision One, é crucial verificar se a versão em uso está atualizada. Caso não seja possível atualizar imediatamente, considere implementar medidas de segurança adicionais, como a restrição de acesso administrativo a usuários autorizados e a monitorização rigorosa das atividades dos usuários com privilégios elevados. A implementação de um sistema de detecção de intrusão (IDS) pode ajudar a identificar tentativas de exploração da vulnerabilidade. Verifique a documentação oficial do Trend Vision One para obter instruções detalhadas sobre a configuração de medidas de segurança adicionais.
Como corrigirtraduzindo…
Este problema ya ha sido solucionado en el servicio backend. No se requiere ninguna acción por parte del usuario.
Boletim de Segurança CVE
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Perguntas frequentestraduzindo…
What is CVE-2025-31283 — Broken Access Control in Trend Vision One?
CVE-2025-31283 is a medium severity vulnerability in Trend Vision One's User Roles component allowing privilege escalation via user account manipulation. It's currently considered inactive due to a backend service fix.
Am I affected by CVE-2025-31283 in Trend Vision One?
If you are using Trend Vision One versions less than or equal to NA, you were potentially affected. Verify the backend service fix has been applied to your system.
How do I fix CVE-2025-31283 in Trend Vision One?
The vulnerability is reported as fixed on the backend service. Verify the fix's implementation and review user roles and permissions. Consult the official Trend Micro advisory for detailed instructions.
Is CVE-2025-31283 being actively exploited?
Currently, there are no confirmed reports of active exploitation of CVE-2025-31283. However, unpatched systems remain potentially vulnerable.
Where can I find the official Trend Vision One advisory for CVE-2025-31283?
Refer to the official Trend Micro security advisory for CVE-2025-31283. The specific URL can be found on the Trend Micro website or through security news outlets.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.