「ESET NOD32」など複数製品に、DLL読込起因の任意コード実行の脆弱性(JVN) | ScanNetSecurity
2021.05.08(土)

「ESET NOD32」など複数製品に、DLL読込起因の任意コード実行の脆弱性(JVN)

IPAおよびJPCERT/CCは、キヤノンITソリューションズが提供する複数の製品のインストーラにDLL読み込みに関する脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は7月24日、キヤノンITソリューションズ株式会社が提供する複数の製品のインストーラにDLL読み込みに関する脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは7.8。NTTコミュニケーションズ株式会社の東内裕二氏が報告を行った。影響を受けるシステムは次の通り(デジタル署名のタイムスタンプの日付が「2018年7月10日」以前となっているインストーラ)。

・ESET Smart Security Premium
・ESET Internet Security
・ESET Smart Security
・ESET NOD32アンチウイルス
・DESlock+ Pro
・CompuSec (パッケージ製品以外の全プログラム)

これらの製品には、DLLを読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定のDLLを読み込んでしまう脆弱性(CVE-2018-0649)が存在する。この脆弱性により、インストーラを実行している権限で任意のコードを実行される可能性がある。JVNでは、開発者が提供する情報をもとに最新のインストーラを使用するよう呼びかけている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. ヤフオク! 落札者情報が取得可能、API 仕様不備

    ヤフオク! 落札者情報が取得可能、API 仕様不備

  2. 実在するドメイン「gmai.com」、タイプミスによる誤送信ふたたび報告される

    実在するドメイン「gmai.com」、タイプミスによる誤送信ふたたび報告される

  3. 千葉大学医学部附属病院職員が宅配便騙るスミッシング被害、個人PCに保存した患者個人情報が閲覧可能に

    千葉大学医学部附属病院職員が宅配便騙るスミッシング被害、個人PCに保存した患者個人情報が閲覧可能に

  4. Salesforce 設定不備、子育て応援アプリに不正アクセス試行133回

    Salesforce 設定不備、子育て応援アプリに不正アクセス試行133回

  5. 教員の個人スマホに宅急便騙るスミッシング、クラウドサービスのID パスワード窃取

    教員の個人スマホに宅急便騙るスミッシング、クラウドサービスのID パスワード窃取

  6. Pontaポイントシステム障害、auやリクルートIDにも影響

    Pontaポイントシステム障害、auやリクルートIDにも影響

  7. gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

    gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

  8. 佐賀県 聖火リレーランナーの生年月日、メディア開示はOKだがWeb掲載はNG

    佐賀県 聖火リレーランナーの生年月日、メディア開示はOKだがWeb掲載はNG

  9. ワクチン接種予約システムに不具合、解析ツール用いれば個人情報閲覧可能

    ワクチン接種予約システムに不具合、解析ツール用いれば個人情報閲覧可能

  10. 富士経済系調査会社にサイバー攻撃、システム障害で納品にも支障

    富士経済系調査会社にサイバー攻撃、システム障害で納品にも支障

ランキングをもっと見る