Trend Micro: Mehrere Produkte mit hochriskanten Lücken

In der Nacht zum Freitag hat Trend Micro mehrere CVE-Schwachstelleneinträge veröffentlicht. Sie betreffen hochriskante Sicherheitslücken in mehreren Produkten des IT-Sicherheitsunternehmens.

In Trend Micros Cleaner One Pro können Angreifer ihre Rechte ausweiten und unbeabsichtigt Trend-Micro-Dateien mit erhöhten Rechten löschen, einschließlich der Cleaner-One-Pro-Dateien (CVE-2025-53503 / EUVD-2025-21043, CVSS 7.8, Risiko „hoch„). Laut Sicherheitsmitteilung von Trend Micro korrigiert Trend Micro Cleaner One Pro 6.8.333 den Fehler.

Verfolgte Verknüpfungen

In der Endkundenversion von Trend Micros Passwort-Manager können Angreifer mit symbolischen Links und ähnlichen und anderen, nicht näher genannten Methoden eine Link-Verfolgungs-Lücke zur Rechteausweitung missbrauchen. Damit können beliebige Ordnern und Dateien löschen und ihre Rechte im System ausweiten (CVE-2025-52837 / EUVD-2025-21041, CVSS 7.8, Risiko „hoch„). Der Passwort-Manager in Version 5.8.0.1330 für Windows oder neuere Fassungen bessern die Schwachstelle aus.

Die Privatnutzer-Version Trend Micro Security 17.8 ist von einer vergleichbaren Sicherheitslücke betroffen. Die Software folgt Verknüpfungen, wodurch Angreifer unbeabsichtigt Dateien von Trend Micro mit erhöhten Rechten löschen können, einschließlich der eigenen (CVE-2025-52521 / EUVD-2025-21040, CVSS 7.8, Risiko „hoch„). Die Trend Micro Security-Produkte für Windows enthalten den Fehler ab Version 17.8.1476 nicht mehr.

Im Trend Micro Worry-Free Business Security Services (WFBSS) Agent können Angreifer aus dem Netz ohne vorherige Authentifizierung die Kontrolle übernehmen. Es fehlt einen Authentifizierungsprüfung (CVE-2025-53378 / EUVD-2025-21042, CVSS 7.6, Risiko „hoch„). Betroffen sind die Agents der SaaS-Cloud-Variante, die On-Premises-Version ist nicht anfällig. Der Fehler wurde bereits mit dem monatlichen Wartungsupdate korrigiert, Admins müssen daher nicht aktiv werden.

Zuletzt hatte Trend Micro Sicherheitslücken in Apex Central und Worry-Free Business Security Mitte Juni abgedichtet. Davon haben die Entwickler einige sogar als kritisches Sicherheitsrisiko eingestuft.

(dmk)