オフィススイート「WPS Office」に脆弱性 - 細工ファイルによる悪用も

Kingsoftが提供するオフィススイート「WPS Office」に脆弱性が明らかとなった。悪用も確認されているという。

「同12.2.0.13489」から「同12.2.0.13110」までのバージョンに、パストラバーサルの脆弱性「CVE-2024-7262」が判明したもの。

パスの検証に問題があり、悪意あるライブラリファイルを読み込むおそれがある。細工した表計算ファイルによって同脆弱性を悪用する攻撃も確認されているという。

同脆弱性を発見し、CVE番号を採番したESETは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.3」と評価した。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、「CVSSv3.1」のベーススコアを「7.8」とし、重要度を「高（High）」とレーティングしている。

Kingsoftでは、3月22日に「同12.2.0.16703」をリリース。最新版は4月22日にリリースした「同12.2.0.16909」となっている。

（Security NEXT - 2024/08/19 ）ツイート