【注意喚起】InterScan WebManagerにおけるクロスサイトリクエストフォージェリの脆弱性について：サポート情報 : トレンドマイクロ
InterScan WebManagerにおいて、クロスサイトリクエストフォージェリの脆弱性が確認されております。
・CVE-2024-45504(CVSS3.0スコア:6.5 深刻度:中)
InterScan WebManagerの管理コンソールにログインしたユーザが、細工されたページにアクセスした場合、意図しない操作をさせられる可能性があります。
■対処方法
当該脆弱性を修正するPatchを提供しております。脆弱性情報を含め、詳細につきましては以下のQ&Aページをご参照ください。製品Q&A : アラート/アドバイザリ：クロスサイトリクエストフォージェリの脆弱性について：InterScan WebManager
■製品サポート情報
ご不明な点がございましたら、弊社サポートセンターまでお問合せください。
お問合せ方法については、こちらをご確認ください。
今後とも弊社製品をご愛顧くださいますよう、よろしくお願い申し上げます。
サポート情報 : トレンドマイクロ
アラート/アドバイザリ：クロスサイトリクエストフォージェリの脆弱性について：InterScan WebManager脆弱性の概要
CVE-2024-45504: クロスサイトリクエストフォージェリの脆弱性
CVSSv3: 6.5: AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Trend Micro InterScan WebManager(TM) 9.0 SP1 (Build1210)
https://files.trendmicro.com/jp/ucmodule/iswm/91/SP1-1210/readme_Build1210.txt
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
- -
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
5. 変更履歴
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
- -
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
（Build1107での変更点）
5-1. スタンドアロン版のフィルタリングパイパス機能にて複数の宛先ホストを指定して
いる時にCPU負荷が増大する問題を修正しました。
5-2. スタンドアロン版のフィルタリングサービス共通設定の「サーバ転送Nagleアルゴリ
ズム」と「クライアント転送Nagleアルゴリズム」の設定値が正しく反映されるよう
修正しました。
5-3. スタンドアロン版のWebコンテンツキャッシュ使用時に、
Internet Explorerの設定で「プロキシ接続でHTTP/1.1を使用する」の場合、
レイアウト崩れが発生する問題を修正しました。
（Build1201での変更点）
5-4. アクセスログを、syslogプロトコルで外部サーバへ転送できるようになりました。
5-5. ロードバランサやICAPクライアントなどを使用して、ラウンドロビンによる負荷分
散を行っている環境で、規制画面表示や一時解除、警告解除を正常に動作させる設
定を追加しました。
5-6. amsgroupコマンドに、グループ追加（大量データ登録）を高速実行するオプション
を追加しました。
5-7. セーフサーチロック機能の対象サービスに「YouTube」を追加しました。
5-8. 管理画面において、例外URL設定のみ操作可能なアカウント種別を追加しました。
5-9. スタンドアロン版のウイルスチェック連携機能において、HTTPSデコードによる暗号
解除後のデータをチェック対象とすることができるようになりました。
5-10.ICAP版と連携するプロキシがHTTPSデコードを行っている場合、デコード前に行われ
る通信（CONNECTメソッド）をスキップし、デコード後の通信のみフィルタリング対
象とすることができるようになりました。
※プロキシ側の設定変更が必要です。
設定方法の詳細については、管理者ガイドの「ICAPクライアントの設定」を参照して
ください。
5-11.LDAP連携の接続先分散機能を有効にしても、認証後のユーザ検索時に接続先が分散
されない問題を修正しました。
5-12.LDAP連携の接続先が複数登録されている場合のユーザ検索処理を軽量化しました。
5-13.未登録ユーザ設定を有効にしてNTLM認証/Kerberos認証を使用する場合、LDAP連携の
通信失敗時は認証情報をキャッシュしないように修正しました。
5-14.LDAP連携で「グループ毎にユーザ抽出条件を指定する」を選択している時に、グル
ープ特定条件の優先順位が1000番目以上になるグループに所属するユーザが認証エ
ラーとなる問題を修正しました。
5-15.アクセスログ1行あたりのサイズが4KBを超える場合、Geoスコープのアクセス集計に
反映されない問題を修正しました。
（Build1202での変更点）
5-16.ICAP版のHTTPSの規制画面を表示する時の規制理由取得処理を、パス付きではなく
ドメイン部のみで判定するよう変更しました。
5-17.管理画面の設定情報管理 > 保存/復旧/同期 の[今すぐ同期を実行]をクリック時と
amsdata -sys コマンド実行時に、管理サービス起動直後のsystem.infを参照して
いた動作を、最新のsystem.infを参照するように修正しました。
5-18.管理画面のログ管理 > Syslog転送設定にて、有効にチェックを入れて[保存]を
クリックしても管理サービスを再起動しないと反映されない動作を、即時反映さ
れるよう修正しました。
5-19.連続して稼働しているリクエストが多い環境にて、管理画面のパフォーマンスモニ
タの、フィルタリングサービス リクエスト状況 の円グラフが正しく表示されなく
なる事象を修正しました。
5-20.管理画面のパフォーマンスモニタの HTTPSサーバデコードのデコードの数値が、ヘ
ルスチェックエラー発生後に、正しく表示されなくなる事象を修正しました。
（Build1203での変更点）
5-21.スタンドアロン版のWebコンテンツキャッシュ使用時で、かつ上位プロキシを利用
する環境の場合、Web閲覧ができなくなる問題を修正しました。
5-22.スタンドアロン版にて、HTTPSデコードされたリクエストにX-Forwarded-Forヘッダ
の付与が可能となる設定キー(proxy.inf [CONNECTION_CFG] DECODE_ADD_HEADER=TRUE)
を追加しました。初期値はヘッダを付与しない(FALSE)になります。
（Build1205での変更点）
5-23.マスター・スレーブ構成にて、設定変更を行うタイミングにより、設定ファイルの
読み取りに失敗する場合がある問題を修正しました。
（Build1206での変更点）
5-24.ドメイン名が数字で始まるHTTPSサイトを規制対象とした場合、Google Chrome
(バージョン58.0.3029.81以降)でアクセスするとプライバシーエラーが発生する
問題を修正しました。
5-25.スタンドアロン版のWebコンテンツキャッシュ利用時に、アドオンを使用したサイト
からファイルをダウンロードをしようとすると、Internet Explorerがクラッシュする
問題を修正しました。
（Build1207での変更点）
5-26.Syslog転送時、通信プロトコルに「TLS」を利用した時、ログの転送が遅延する問題
を修正しました。
5-27.ログローテーション時に稀にSyslog転送が停止してしまう問題を修正しました。
（Build1208での変更点）
5-28.Windows版でログローテーション時にSyslog転送が行われない問題を修正しました。
5-29.Build 1201以降のスタンドアロン版の環境で、Active Directory以外のLDAPサーバ
と連携している場合、ISWM未登録のLDAPユーザが認証後にアクセス不可となる問題
を修正しました。
（Build1210での変更点）
5-30.CSRF(クロスサイトリクエストフォージェリ)脆弱性により
アカウントデータ改ざん等の攻撃を受ける可能性への対策を実施しました。
