CVE-2008-2433

Les consoles de gestion web de plusieurs produits hérités de Trend Micro, notamment OfficeScan et Worry-Free Business Security, utilisent des jetons de session prévisibles basés sur l'heure de connexion. Un attaquant distant peut tenter de deviner ces jetons par force brute, sans aucune authentification ni interaction de l'utilisateur, afin de détourner une session administrative active, ce qui peut potentiellement conduire à l'exécution complète de code à distance. Cet exploit est relativement facile à réaliser car il ne nécessite qu'un accès réseau à la console de gestion.