三菱電機は2019年6月に発生した不正アクセスにより最大8122人の個人情報が流出した可能性があることを発表し、業界があわただしくなりましたね。
三菱電機といえば、政府・行政機関にも製品を多く導入していることから、
政府機関とのやり取りや企業機密などの流出が懸念されているものの、
「防衛や電力など社会インフラに関わる機微な情報や機密性の高い情報は流出していない」としています。
ウイルスバスターの脆弱性が原因で三菱電機の個人情報流出？
報道によると三菱電機の大規模なサイバー攻撃により流出した可能性があるのは、
防衛省や原子力規制委員会など政府機関とのやり取りに関する情報
自社や取引先企業が作成した技術に関する資料や会議の資料
といった情報とされています。
先日までは「ウイルス対策システムが第三者からゼロデイ攻撃を受けた」となっており、
どのウイルス対策システムだったのかが注目されていました。
朝日新聞によるとどうやらトレンドマイクロの「ウイルスバスター」ということで、
「ウイルスバスター」の法人向けパッケージには「ウイルスバスターコーポレートエディション」のほか、
- ハイブリッドクラウドセキュリティ
- サーバセキュリティ
- Deep Discoveryシリーズ
- TippingPoint
- Security Management System
- Threat Protection System
- Digital Vaccine
といったものがあります。
ウイルスバスター ビジネスセキュリティサービス(法人向け) | 5台3年版 | オンラインコード版
ウイルスバスターの脆弱性(欠陥)とは「CVE-2019-18187」？
時系列的に考えると、三菱電機で不正アクセスが発覚したのは2019年6月のことで、
ウイルスバスターは2019年10月に欠陥を公表した記録が見つかりました。
時系列的に考えると「CVE-2019-18187」が攻撃対象となり悪用されたのではないかとみられます。
脆弱性 (CVE-2019-18187) が悪用された場合、ウイルスバスターコーポレートエディションを管理しているアカウントの権限で、任意のコードを実行する可能性があるとしています。
もちろんトレンドマイクロではすでに「CVE-2019-18187」の脆弱性に対する下記の修正プログラムを配布しています。
- ウイルスバスターコーポレートエディション XG Service Pack 1 Critical Patch (ビルド 5427)
- ウイルスバスターコーポレートエディション XG Patch 1 Critical Patch (ビルド 1962)
- ウイルスバスターコーポレートエディション 11.0 Service Pack 1 Critical Patch (ビルド 6638)
ウイルスバスターの脆弱性(欠陥)の対象製品・バージョンは？
「CVE-2019-18187」の脆弱性が疑われるウイルスバスターの製品およびバージョンは、
ウイルスバスターコーポレートエディション XG SP1、XG、11.0 SP1
と発表されています。
三菱電機の大規模なサイバー攻撃に関しては、ウイルスバスターの脆弱性(欠陥)に対して対策が施されていなかった社内のパソコンの管理サーバーが悪用されたとみられます。
