技術的な説明
Trend Micro Apex One (on-premise) サーバーには、ディレクトリトラバーサル脆弱性（CWE-23）が含まれており、管理者認証情報を持つ認証前のローカル攻撃者が、サーバー上のキーテーブルを変更して、影響を受けたインストール環境のエージェントに配備するための悪意あるコードを挿入することができます。CVSS 3.1スコア：6.7（AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L）。この脆弱性はApex OneのOn-Premise版でのみ悪用可能です。SaaS版は影響を受けません。
攻撃経路
Apex Oneサーバーへのローカル管理アクセスを他の方法で既に取得している攻撃者は、ディレクトリトラバーサル欠陥を悪用して、意図されたパス外のファイルに到達し、キーテーブルを変更して、悪意あるコードを挿入できます。Apex Oneはエンドポイントセキュリティ管理ソフトウェアであるため、挿入されたコードはエンタープライズ全体の管理エージェントに配布され、単一のサーバーレベルの侵害から広範な妥協が可能になります。
影響を受けるシステム
Apex One (on-premise) サーバーおよび2019ビルド17079より前のエージェントビルド。On-Premise Apex Oneデプロイメントをエンドポイントセキュリティ管理に使用している組織。
緩和策
Apex One on-premiseをSP1 CP Build 18012（既存のSP1ユーザー向け）またはSP1 Build 17079（新規インストール向け）にアップグレードし、エージェントビルドが少なくとも14.0.0.17079であることを確認してください。Trend Microアドバイザリ KA-0023430に従って対策を適用してください。CISA KEV要件に従い、連邦民間機関は2026年6月4日までに対策を適用する必要があります。