| 製品 |
影響を受けるバージョン |
CVE ID: |
脆弱性の影響 |
Severity Ratings: |
CVSS v3.1
Base/Temporal Scores: |
Data Loss Prevention (DLP) Endpoint
for Windows |
11.6.100より前 |
CVE-2020-7346 |
CWE-269: Privilege escalation vulnerability |
High |
7.8 / 7.0 |
| Recommendations: |
DLP Endpoint for Windows 11.6.100へのアップグレード/インストール |
| Security Bulletin Replacement: |
なし |
| 更新ソフトウェアダウンロードサイト |
https://www.trellix.com/ja-jp/downloads/my-products.html |
このセキュリティ情報が更新されたときに電子メールで通知を受け取るには、ページの右側にある[購読]
をクリックします。購読するには、ログインしている必要があります。
Vulnerability Description
CVE-2020-7346
11.6.100 以前の McAfee Data Loss Prevention (DLP) for Windows には特権昇格の脆弱性があり、ローカルの低い権限の攻撃者がジャンクションを使用して、攻撃者が選択した DLL を製品に読み込ませることができます。これには、攻撃者によるジャンクションの作成と削除、および特定の IOTL コマンドを適切なタイミングで送信することが必要です。
https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-7346
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7346
Remediation
この問題を解決するには、DLP Endpoint for Windows 11.6.100にアップデートしてください。
製品ダウンロードのサイトで、該当する製品のアップデートファイルをダウンロードしてください。
| Product |
Version |
Type |
Release Date |
| DLP Endpoint for Windows |
11.6.100 |
Update |
March 23, 2021 |
Acknowledgments
McAfee credits @smgorelik from Morphisec for responsibly reporting this flaw.
Frequently Asked Questions (FAQs)
ダウンロードとインストールの手順
マカフィー製品、更新プログラム、Hotfix、ドキュメントをダウンロードする方法については KB56057 を参照してください。 これらのアップデートをインストールする方法については、ドキュメントタブからダウンロードできるリリースノートとインストールガイドを確認してください。
McAfee 製品の脆弱性の有無はどうやって調べますか？
エンドポイントプロダクト製品
エンドポイントまたはクライアントベースの製品には、以下の手順を使用してください。
- Windows タスクバーのMcAfee tray shield icon を右クリック
- Open Consoleを選択
- コンソール内でAction Menuを選択
- Action MenuからProduct Detailsを選択し製品のバージョンを確認
あるいは、Windows タスクバーのMcAfee tray shield icon を右クリックして、製品のバージョン情報をご確認ください。
DLPe用ePO 拡張
次の手順でご確認ください。
- ePO serverへログイン
- メニュー > ソフトウェア > 拡張ファイル > Data Loss Prevention
- 右側の画面からバージョンをご確認いただけます
CVSSとは何ですか?
CVSSとは共通脆弱性評価システムの事を指し、国家インフラ諮問委員会により脆弱性の重要度を評価するための システムを標準化するために策定されました。 このシステムによって算出されたスコアにより、脆弱性がいかに重要かを 判断し、対策を計画することができます。詳細については、以下のURLにてホームページをご覧下さい。
http://www.first.org/cvss/.
CVSSスコアを計算する際、McAfeeは一貫性と再現性を促進する哲学を採用しています。 CVSSスコアリングの指針となる原則は、検討中のエクスプロイト自体をスコアリングすることです。 検討中のエクスプロイトの直接の直接的な影響のみを考慮します。 スコアリングされている問題の悪用が成功した場合に可能になる可能性がある後続のエクスプロイトをスコアに考慮しません。
使用されるCVSSスコアリングメトリクスは何ですか？
CVE-2020-7346: Privilege escalation in DLP Endpoint for Windows
| Base Score |
7.8 |
| Attack Vector (AV) |
Local (L) |
| Attack Complexity (AC) |
Low (L) |
| Privileges Required (PR) |
Low (L) |
| User Interaction (UI) |
None (N) |
| Scope (S) |
Unchanged (U) |
| Confidentiality (C) |
High (H) |
| Integrity (I) |
High (H) |
| Availability (A) |
High (H) |
| Temporal Score (Overall) |
7.0 |
| Exploitability (E) |
Proof-of-Concept (P) |
| Remediation Level (RL) |
Official Fix (O) |
| Report Confidence (RC) |
Confirmed (C) |
NOTE:このスコアを生成するために、以下の CVSS バージョン 3.1 が使用されました。
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H/E:P/RL:O/RC:C&version=3.1
すべてのセキュリティ情報の一覧はどこで入手できますか？
すべてのセキュリティ情報は外部 PSIRT の Web サイト (https://www.mcafee.com/us/threat-center/product-security-bulletins.aspx)のセキュリティ情報へ掲載されています。 セキュリティ情報は、製品が販売終了とサポート終了時（End of Life）のいずれかになると、廃止（削除）されます。
製品の脆弱性をマカフィーへ報告する方法は？
McAfee製品のセキュリティ問題または脆弱性に関する情報がある場合は、McAfee PSIRT Webサイトにアクセスして、次のURLで手順を確認してください。
https://www.mcafee.com/us/threat-center/product-security-bulletins.aspx > Report a Security Vulnerability 。
McAfeeは、これおよびその他の報告されたセキュリティ上の欠陥にどのように対応しますか？
マカフィーの最優先事項は、お客様のセキュリティです。 McAfeeのソフトウェアまたはサービスに脆弱性が見つかった場合、関連するセキュリティソフトウェア開発チームと緊密に連携して、修正およびコミュニケーション計画を迅速かつ効果的に開発します。
マカフィーは、回避策、緩和策、バージョンアップデート、修正プログラムなどのアクション可能なものが含まれている場合にのみセキュリティ速報を公開します。 それ以外の場合は、ハッカーコミュニティに当社の製品がターゲットであることを通知するだけで、顧客をより大きなリスクにさらすことになります。 自動的に更新される製品の場合は、発見者を確認するために、対処できないセキュリティ情報が公開される場合があります。
McAfee PSIRT Webサイト（https://www.mcafee.com/us/threat-center/product-security-bulletins.aspx > About PSIRT ）でPSIRTポリシーを確認してください。
Disclaimer
The information provided in this Security Bulletin is provided as is without warranty of any kind. McAfee disclaims all warranties, either express or implied, including the warranties of merchantability and fitness for a particular purpose. In no event shall McAfee or its suppliers be liable for any damages whatsoever including direct, indirect, incidental, consequential, loss of business profits or special damages, even if McAfee or its suppliers have been advised of the possibility of such damages. Some states do not allow the exclusion or limitation of liability for consequential or incidental damages so the preceding limitation may not apply.
Any future product release dates mentioned in this Security Bulletin are intended to outline our general product direction, and they should not be relied on in making a purchasing decision. The product release dates are for information purposes only, and may not be incorporated into any contract. The product release dates are not a commitment, promise, or legal obligation to deliver any material, code, or functionality. The development, release, and timing of any features or functionality described for our products remains at our sole discretion and may be changed or canceled at any time.
