「Windows 7」のライブラリに不正ファイル読込問題 - 修正予定なし

「Windows 7」に含まれるライブラリに、ディレクトリ内の不正なライブラリファイルを読み込む脆弱性が指摘されている。マイクロソフトはリスクが低いとし、修正しない方針を示している。

従来より検索パスの問題で不正なライブラリファイルを読み込む脆弱性がアプリケーションをはじめ多く指摘されているが、「Windows 7」のライブラリファイルにおいても同様の問題が明らかとなったもの。

同一フォルダ内に設置された不正なライブラリを読み込むおそれがある脆弱性「CVE-2019-5921」が存在。悪用されると任意のコードなどを実行されるおそれがある。

共通脆弱性評価システムの「CVSS v3」におけるスコアは「7.8」で、4段階中2番目にあたる「重要」。「CVSS v2」の場合は「6.8」で3段階中2番目にあたる「警告」とレーティングされている。

一方マイクロソフトでは、問題のディレクトリについてアクセスには管理者権限が必要であることを理由に、リスクが低い問題として対処しない方針を示している。

脆弱性の判明を受けて、セキュリティ機関では、対策として「Windows 10」への移行や、緩和策などの実施を呼びかけている。

（Security NEXT - 2019/02/28 ）ツイート