NVD Vulnerability Detail

CVE-2017-9033

Summary	Cross-site request forgery (CSRF) vulnerability in Trend Micro ServerProtect for Linux 3.0 before CP 1531 allows remote attackers to hijack the authentication of users for requests to start an update from an arbitrary source via a crafted request to SProtectLinux/scanoption_set.cgi, related to the lack of anti-CSRF tokens.
Publication Date	May 26, 2017, 10:29 a.m.
Registration Date	Jan. 26, 2021, 1:30 p.m.
Last Update	Nov. 21, 2024, 12:35 p.m.

Affected software configurations

Configuration1		or higher	or less	more than	less than
cpe:2.3:a:trendmicro:serverprotect:3.0:::::linux::

Related information, measures and tools

No	URL	タグ
1	http://packetstormsecurity.com/files/142645/Trend-Micro-ServerProtect-Disclosure-CSRF-XSS.html	Exploit Third Party Advisory VDB Entry
2	http://packetstormsecurity.com/files/142645/Trend-Micro-ServerProtect-Disclosure-CSRF-XSS.html	Exploit Third Party Advisory VDB Entry
3	http://seclists.org/fulldisclosure/2017/May/91	Exploit Mailing List Third Party Advisory
4	http://seclists.org/fulldisclosure/2017/May/91	Exploit Mailing List Third Party Advisory
5	http://www.securitytracker.com/id/1038548	Third Party Advisory VDB Entry
6	http://www.securitytracker.com/id/1038548	Third Party Advisory VDB Entry
7	https://success.trendmicro.com/solution/1117411	Patch Vendor Advisory
8	https://success.trendmicro.com/solution/1117411	Patch Vendor Advisory
9	https://www.coresecurity.com/advisories/trend-micro-serverprotect-multiple-vulnerabilities	Exploit Technical Description Third Party Advisory
10	https://www.coresecurity.com/advisories/trend-micro-serverprotect-multiple-vulnerabilities	Exploit Technical Description Third Party Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-352	クロスサイト・リクエスト・フォージェリ（CSRF）	https://cwe.mitre.org/data/definitions/352.html
2	CWE-352	同一生成元ポリシー違反	https://cwe.mitre.org/data/definitions/346.html

JVN Vulnerability Information

Trend Micro ServerProtect for Linux におけるクロスサイトリクエストフォージェリの脆弱性

Title	Trend Micro ServerProtect for Linux におけるクロスサイトリクエストフォージェリの脆弱性
Summary	Trend Micro ServerProtect for Linux には、CSRF 対策トークン (anti-CSRF token) の欠落に関する処理に不備があるため、クロスサイトリクエストフォージェリの脆弱性が存在します。
Possible impacts	リモートの攻撃者により、SProtectLinux/scanoption_set.cgi への巧妙に細工されたリクエストを介して、ユーザの認証をハイジャックされ、任意の送信元からのアップデートを開始される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	May 23, 2017, midnight
Registration Date	June 21, 2017, 2:28 p.m.
Last Update	Sept. 26, 2017, 3:03 p.m.

Affected System

トレンドマイクロ

Trend Micro ServerProtect for Linux 3.0 CP 1531 未満の 3.0

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2017-9033	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9033
National Vulnerability Database (NVD)
2	CVE-2017-9033	https://nvd.nist.gov/vuln/detail/CVE-2017-9033

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-352	https://jvndb.jvn.jp/ja/cwe/CWE-352.html

ベンダー情報

No	Name	URL
TrendMicro Solution
1	1117411	https://success.trendmicro.com/solution/1117411
トレンドマイクロ Q&Aページ
2	アラート/アドバイザリ: ServerProtect for Linux 3.0の複数の脆弱性(CVE-2017-9032/9033/9034/9035/9036/9037)について	http://esupport.trendmicro.com/solution/ja-JP/1117452.aspx

その他

No	Name	URL
JVN
1	JVNVU#93240386	http://jvn.jp/en/vu/JVNVU93240386/
2	JVNVU#93240386	http://jvn.jp/vu/JVNVU93240386/index.html

Change Log

No	Changed Details	Date of change
0	[2017年06月21日] 掲載 [2017年09月26日] ベンダ情報：トレンドマイクロ (アラート/アドバイザリ: ServerProtect for Linux 3.0の複数の脆弱性(CVE-2017-9032/9033/9034/9035/9036/9037)について) を追加参考情報：JVN (JVNVU#93240386) を追加	Feb. 17, 2018, 10:37 a.m.