CVE-2025-49212

RCE przed uwierzytelnieniem przez insecure deserialization w Trend Micro Endpoint Encryption PolicyServer

CVSS 9.8v3.1pub. 2025-06-17upd. 2025-09-08

Podatność insecure deserialization w komponencie PolicyServer produktu Trend Micro Endpoint Encryption umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Krytyczny poziom zagrożenia wynika z braku wymogu jakiegokolwiek uwierzytelnienia przed wykorzystaniem podatności.

▸ Pokaż oryginał (EN)

An insecure deserialization operation in the Trend Micro Endpoint Encryption PolicyServer could lead to a pre-authentication remote code execution on affected installations. Note that this vulnerability is similar to CVE-2025-49220 but is in a different method.

🤖 Analiza AI

Jak działa

Komponent PolicyServer obsługuje operację deserializacji danych w sposób niebezpieczny (insecure deserialization), co oznacza, że dane wejściowe dostarczane przez atakującego są deserializowane bez odpowiedniej walidacji lub filtrowania. Atakujący może spreparować złośliwy payload i przesłać go do serwera jeszcze przed procesem uwierzytelnienia. Podatność dotyczy innej metody niż powiązana CVE-2025-49220, lecz obie wady mają podobny charakter i skutki.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, na którym działa PolicyServer, w tym możliwość odczytu, modyfikacji lub usunięcia danych oraz dalszego lateral movement w sieci. Kompromitacja serwera zarządzającego politykami szyfrowania może skutkować ujawnieniem danych uwierzytelniających i kluczy szyfrowania zarządzanych przez produkt.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły w biuletynie Trend Micro: https://success.trendmicro.com/en-US/solution/KA-0019928. Ze względu na pre-authentication RCE o ocenie CVSS 9.8 aktualizacja powinna zostać wdrożona niezwłocznie. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do PolicyServer wyłącznie do zaufanych hostów za pomocą firewall.

Kogo dotyczy

Trend Micro Endpoint Encryption PolicyServer działający na Microsoft Windows — konkretne wersje wskazane w referencjach producenta (https://success.trendmicro.com/en-US/solution/KA-0019928)

Uwagi

Podatność jest powiązana z CVE-2025-49220 — obie dotyczą insecure deserialization w PolicyServer, lecz w różnych metodach. Szczegóły techniczne opublikowano w serwisie Zero Day Initiative (ZDI-25-369).