コーレル製 Roxio SAIB サービスで登録される Windows サービスの実行ファイルパスが引用符で囲まれていない脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月19日、コーレル製 Roxio SAIB サービスによって登録される Windows サービスの実行ファイルパスが引用符で囲まれていない脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ラックの日野遥氏が報告を行っている。影響を受けるシステムは富士通クライアントコンピューティング製コンピュータに付属する以下のソフトウェア。

Roxio Creator LJB バージョン : 12.2、ビルド : 106B62B
Roxio Creator LJB バージョン : 12.2、ビルド : 106B63A
Roxio Creator LJB バージョン : 12.2、ビルド : 106B69A
Roxio Creator LJB バージョン : 12.2、ビルド : 106B71A
Roxio Creator LJB バージョン : 12.2、ビルド : 106B74A

　コーレルが提供する Roxio SAIB サービスによって登録される Windows サービスでは、登録される実行ファイルのパスに空白文字が含まれ、かつ引用符で囲まれていないため、空白文字までのパスを利用して、当該サービスの権限で不正なファイルが実行される可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版にアップデートするよう呼びかけている。