脆弱性報告で注意喚起

Windows アプリケーションに対して意図しないファイルの読み込みやコマンドが実行されてしまう脆弱性が多数報告されています。

Windowsアプリケーションの多くはシステムディレクトリにインストールして使用されるため、一般ユーザ権限で操作している限りはアプリケーションと同じディレクトリにユーザがそれと気づかないうちに細工されたファイルを置いてしまう危険性は低いと考えられます。

一方、インストーラや自己解凍書庫ファイル、ポータブルアプリの類はユーザのホームディレクトリなど一般ユーザ権限で操作可能な場所に置いて起動することが一般的であると考えられるため、DLL読み込みの脆弱性を悪用される危険性が高くなると考えられます。

～DLL読み込みの脆弱性～
アプリケーション実行時にDLLファイルが読み込まれる際、Windowsのシステムディレクトリなどに置かれている正規のDLLファイルでなくアプリケーションと同じディレクトリに置かれている同名のDLLファイルが優先される問題で、「アプリケーションディレクトリ型」の脆弱性については依然として存在しており、Windowsに含まれる一部ライブラリファイルや、Windowsのコマンドで作成した自己解凍書庫ファイルなども影響を受けるということです。

DLL読み込みに関する脆弱性が報告されている対象の多くは、なんらかのソフトウェアのインストーラです。
これらの多くはインストーラ作成ソフトウェアを使用して作成されており、インストーラ作成ソフトウェアが提供するコンポーネントでDLL読み込みが行われています。

インストーラ作成ソフトウェアの多くでは既に対策版が提供されていますが、アプリケーション開発者が旧版のインストーラ作成ソフトウェアを使用していることにより、インストーラに脆弱性が残されている事例が多く見られます。
アプリケーション開発者は、開発環境で使用するツールの状況を確認し、最新バージョンのインストーラ作成ソフトウェアを使用するように注意してください。

利用者は、インストーラや自己解凍書庫ファイルを実行する前に、同一ディレクトリへ不審なファイルが配置されていないか注意しましょう。

株式会社サンロフトでは、サイバーセキュリティ対策についてご案内できるソリューションがあります。是非お気軽に、ご相談ください。

　⇒ 株式会社サンロフト：セキュリティ対策サービス

■セミナー開催のお知らせ■

中小企業「経営者」のための情報セキュリティ対策セミナー

2017年6月22日（木）13：30～16：00
焼津商工会議所（2階会議室）

■第1講座

「静岡県警察本部」からの警告サイバー犯罪に巻き込まれないために

・講師
　静岡県警察本部　生活安全部 サイバー犯罪対策課
　静岡県警部　松島 博之 氏

■第2講座

　中小企業のサイバーセキュリティのプロがアドバイス！
　TVや新聞には出ない被害の実態と対策を徹底解説！

・講師
　株式会社船井総合研究所　サイバーセキュリティチーム
　チームリーダー　チーフ経営コンサルタント

　兎澤 直樹 氏

　⇒ 詳細はこちらをご覧ください