HPE Agentless Management が登録する一部の Windows サービスで実行ファイルのパスが引用符で囲まれていない脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月9日、HPE Agentless Management が登録する一部の Windows サービスにおいて実行ファイルのパスが引用符で囲まれていない脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。PwCコンサルティング合同会社の大田大輔氏が報告を行っている。影響を受けるシステムは以下の通り。

HPE Agentless Management Service for Windows x64 1.44.0.0 より前のバージョン
HPE ProLiant Agentless Management Service for HPE Apollo, ProLiant and Synergy Gen9 servers 10.96.0.0 より前のバージョン

　Hewlett Packard Enterprise 提供の HPE Agentless Management が登録する一部の Windows サービスでは、登録される実行ファイルのパスが引用符で囲まれてない脆弱性があり、Windows サービスの実行ファイルパスに空白文字が含まれ、かつ引用符で囲まれていない場合に、空白文字を含むパスを利用して当該サービスの権限で不正なファイルが実行される可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版にアップデートするよう呼びかけている。