信息安全公司Trend Micro 16日发布安全公告，披露多个影响该公司产品的安全漏洞。这些漏洞影响Trend Micro Worry-Free Business Security，Apex One和OfficeScan。Trend Micro Worry-Free Business Security是一款中小型企业的安全解决方案；Apex One是一套能够提供自动威胁检测和响应功能的端点安全防护软件；OfficeScan是一款防病毒/反间谍软件/防火墙保护套件。

Trend Micro此次披露的漏洞包括四个超危漏洞和两个高危漏洞。Trend Micro在公告中透露已观察到其中两个漏洞遭到了黑客主动的利用尝试。

遭到利用的第一个漏洞编号为CVE-2020-8467，CVSS 评分为9.1，是个超危漏洞。该漏洞存在于Trend Micro Apex One和OfficeScan的migration tool组件，远程攻击者可利用该漏洞在受影响的软件上执行任意代码。

高危漏洞CVE-2020-8468是第二个遭到利用的漏洞。根据美国NVD的公告内容，Trend Micro Apex One（2019），OfficeScan XG和Worry-Free Business Security（9.0版本，9.5版本，10.0版本）agent受到一个内容验证转义漏洞的影响。攻击者可利用该漏洞操纵某些agent client组件。

攻击者如要利用这两个漏洞必须先经过用户身份认证。除了简单的介绍外，Trend Micro并没有披露更多关于这两个已遭到利用尝试的漏洞的详情。

CVE-2020-8470和CVE-2020-8598是影响Trend Micro产品的两个超危漏洞。它们的存在是由于Trend Micro Apex One（2019），OfficeScan XG和Worry-Free Business Security（9.0版本，9.5版本，10.0版本）server包含脆弱的service DLL文件。这两个漏洞的CVSS评分皆为10。如漏洞遭到成功利用，攻击者可以SYSTEM级别权限删除服务器上的任意文件。根据Trend Micro的公告内容，攻击者利用这两个漏洞不需要身份认证。

Trend Micro此次披露的第四个超危漏洞为CVE-2020-8599，该漏洞CVSS评分为10。该漏洞源于Apex One和OfficeScan server含有一个脆弱的EXE文件，远程攻击者可利用该漏洞在受影响的软件上将任意数据写入任意路径并绕过ROOT登录。攻击者利用该漏洞同样不需要身份认证。

最后一个漏洞为CVE-2020-8600，CVSS评分为8.6，是个高危漏洞。CVE-2020-8600为一个目录遍历漏洞，攻击者可利用该漏洞篡改密钥文件，绕过身份验证。该漏洞影响Worry-Free Business Security 9.0版本，9.5版本和10.0版本。

Trend Micro在公告中表示已修复了上述漏洞。由于这些漏洞的严重等级较高，建议用户尽快下载更新最新版本。通常情况下，攻击者要利用这些漏洞都需要对脆弱的计算机具有访问权限。因此，除了及时打补丁和更新版本外，厂商也建议用户审核对关键系统的远程访问，并确保采用最新的安全策略和边界安全机制。