「公的個人認証サービス」クライアントに任意のコードを実行される脆弱性(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2018.02.25(日)

「公的個人認証サービス」クライアントに任意のコードを実行される脆弱性(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は12月6日、地方公共団体情報システム機構(J-LIS)が提供するWindows版「公的個人認証サービス 利用者クライアントソフト」のインストーラに、DLL読み込みに関する脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは7.8。Pink Flying Whaleの黒翼猫氏が報告を行った。

「公的個人認証サービス 利用者クライアントソフト Ver3.1およびそれ以前」のインストーラには、DLLを読み込む際の検索パスに問題があり、意図しないDLLを読み込んでしまう脆弱性(CVE-2017-10893)が存在する。なお、Windows7環境下のみが影響を受ける。この脆弱性により、インストーラを実行している権限で任意のコードを実行される可能性がある。JVNでは、開発者が提供する情報をもとに、Windows 7 のパッチ(KB2533623)を適用した上で、最新のインストーラを使用するよう呼びかけている。

《吉澤 亨史》

関連記事

特集

PageTop

アクセスランキング

  1. ここが変だよ日本のセキュリティ 第32回 「2018セキュリティニュースの歩き方」

    ここが変だよ日本のセキュリティ 第32回 「2018セキュリティニュースの歩き方」

  2. 社員が外部オンラインストレージに顧客情報をアップロード(レオガーデン)

    社員が外部オンラインストレージに顧客情報をアップロード(レオガーデン)

  3. Googleのアメとムチ、Chromeが7月からHTTP接続をさらし者に(The Register)

    Googleのアメとムチ、Chromeが7月からHTTP接続をさらし者に(The Register)

  4. DDoS攻撃は横ばい、Webアプリケーション攻撃は微減も総数はともに膨大(アカマイ)

    DDoS攻撃は横ばい、Webアプリケーション攻撃は微減も総数はともに膨大(アカマイ)

  5. パロアルトネットワークス製品の価格破壊、中小企業にありがたいクラウドサービス(マイクロネットワークテクノロジーズ)[Security Days Spring 2018]

    パロアルトネットワークス製品の価格破壊、中小企業にありがたいクラウドサービス(マイクロネットワークテクノロジーズ)[Security Days Spring 2018]PR

  6. サイバー実戦のノウハウ投入、「日本向け」次世代エンドポイントセキュリティ(サイバーリーズン・ジャパン)[Security Days Spring 2018]

    サイバー実戦のノウハウ投入、「日本向け」次世代エンドポイントセキュリティ(サイバーリーズン・ジャパン)[Security Days Spring 2018]PR

  7. たとえ漏えいしても参照不可、ブロックチェーン応用技術の共同開発(ラック、TRIART)

    たとえ漏えいしても参照不可、ブロックチェーン応用技術の共同開発(ラック、TRIART)

  8. イスラエルIntSights社インテリジェンスサービスを日本語で提供(アズジェント)

    イスラエルIntSights社インテリジェンスサービスを日本語で提供(アズジェント)

  9. 接続されている機器は管理者が考えているより2~3割多い(フォアスカウト・テクノロジーズ)[Security Days Spring 2018]

    接続されている機器は管理者が考えているより2~3割多い(フォアスカウト・テクノロジーズ)[Security Days Spring 2018]PR

  10. 自社セキュリティ対策状況を国内600社統計と比較(NRIセキュア)

    自社セキュリティ対策状況を国内600社統計と比較(NRIセキュア)

ランキングをもっと見る