ファイル暗号化ソフト「アタッシェケース」にアップデート - 脆弱性を解消

HiBARA Softwareは、ファイル暗号化ソフト「アタッシェケース」に明らかとなった脆弱性に対処したアップデートをリリースした。旧版で作成した自己解凍書庫形式のファイルにも脆弱性が存在しており、再作成が必要となる。

同製品のWindows版において、検索パスに問題があり、細工されたライブラリファイルを読み込んでコードを実行されるおそれがある脆弱性が判明したもの。

「同4.0.2.7」および以前のバージョンでは「CVE-2022-25348」、「同3.6.1.0」では「CVE-2022-28128」が採番されている。共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.8」。

これら脆弱性は、三井物産セキュアディレクションの塚本泰三氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施。脆弱性を修正した「同4.1.0.0」がリリースされた。

また「同3.2.2.6」「同2.8.3.0」および以前のバージョンで作成した自己解凍書庫形式の実行ファイルには、意図しないライブラリファイルを読み込み、コードを実行される脆弱性「CVE-2017-2272」「CVE-2017-2271」が存在する。

開発者は今回リリースした「同4.1.0.0」で同問題へ対処した。脆弱性の影響を受ける旧バージョンで作成された自己解凍書庫ファイル形式の暗号化ファイルについては引き続き脆弱性が存在するため、最新版で作成し直す必要がある。

（Security NEXT - 2022/03/31 ）ツイート