「OneDrive」「Skype」などMS製複数アプリに脆弱性 - 修正は次期バージョン以降
マイクロソフトが提供する複数のアプリやインストーラなどにおいて、起動時に不正なライブラリを読み込み、任意のコードが実行されるおそれがある脆弱性が指摘されている。指摘に対して同社は、ソーシャルエンジニアリングの問題であるとして次期バージョン以降で対応を検討する方針を示している。
脆弱性情報のポータルサイトであるJVNによれば、「OneDrive」や「Skype for Windows」において、起動時に不正なライブラリファイルを読み込むおそれがある脆弱性「CVE-2018-0592」「CVE-2018-0594」が判明したもの。
さらに両アプリや「Visual Studio Community」「Visual Studio Code」「Visual C++再頒布可能パッケージ」のインストーラのほか、「IExpress」で作成された自己解凍書庫ファイルにおいても脆弱性が存在するという。
これらアプリでは、検索パスに問題があり、同じディレクトリ内に配置されたライブラリファイルを読み込むため、悪意あるdllファイルが設置されると、アプリの権限で任意のコードを実行されるおそれがある。
こうした問題に対してマイクロソフトは、適切にインストールされたアプリケーションでは、アプリケーションディレクトリが「アクセス制御リスト(ACL)」で保護されており、信頼のおけるライブラリファイルを扱う場所としてアクセスには管理者権限が必要であると説明。
再配布可能パッケージや自己解凍アーカイブなど、信頼されないアプリケーションディレクトリで起動するケースについては、危険であるとする一方、いずれも攻撃の本質はソーシャルエンジニアリングであると指摘。多層防御の問題であるとして、更新プログラムは将来のバージョンにおいてのみ検討するとの姿勢を明らかにしている。
JVNでは、「OneDrive」など、アプリケーションによってはユーザーディレクトリ配下にインストールされる場合もあると指摘。緩和策を案内し、利用者へ注意を呼びかけている。
(Security NEXT - 2018/05/18 )
ツイート
PR
関連記事
「SugarCRM」脆弱性 - 9年前の修正にCVE番号
前月の更新で脆弱性13件を修正 - Atlassian
「QNX SDP」の画像解析に深刻な脆弱性 - 修正版を公開
「Cisco Meraki 」にDoS脆弱性 - SSL VPN処理で強制再起動
「IBM QRadar SIEM」に複数脆弱性 - 修正パッチをリリース
ゲームサーバ管理ツール「Pterodactyl Panel」に脆弱性 - 悪用の動きも
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も
「GeoTools」にXXE脆弱性 - 「GeoServer」なども影響
「Roundcube」にアップデート - 前バージョンの不具合を解消
Trend Microの暗号化管理製品にRCEや認証回避など深刻な脆弱性