製品・ソフトウェアに関する情報

JVN脆弱性詳細

Microsoft Windows XP で利用される Indeo コーデックにおける権限昇格の脆弱性

Title	Microsoft Windows XP で利用される Indeo コーデックにおける権限昇格の脆弱性
Summary	Microsoft Windows XP で利用される Indeo コーデックには、検索パスに関する処理に不備があるため、権限を取得される脆弱性が存在します。
Possible impacts	ローカルユーザにより、カレントワーキングディレクトリ内にあるトロイの木馬の iacenc.dll ファイルを介して、権限を取得される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	Aug. 27, 2010, midnight
Registration Date	Feb. 16, 2012, 4:14 p.m.
Last Update	Feb. 16, 2012, 4:14 p.m.

Affected System

マイクロソフト

Microsoft Windows XP sp3 SP3

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2010-3138	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3138
National Vulnerability Database (NVD)
2	CVE-2010-3138	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-3138

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther

ベンダー情報

No	Name	URL
AB Team
1	BS.Player	http://www.bsplayer.com/
Microsoft Security Bulletin
2	MS12-014	http://technet.microsoft.com/en-us/security/bulletin/ms12-014
マイクロソフトセキュリティ情報
3	MS12-014	http://technet.microsoft.com/ja-jp/security/bulletin/ms12-014

その他

No	Name	URL
JPCERT 緊急報告
1	JPCERT-AT-2012-0005	http://www.jpcert.or.jp/at/2012/at120005.txt
JVN
2	JVNTA12-045A	http://jvn.jp/cert/JVNTA12-045A
US-CERT Technical Cyber Security Alert
3	TA12-045A	http://www.us-cert.gov/cas/techalerts/TA12-045A.html
警察庁 @police
4	マイクロソフト社のセキュリティ修正プログラムについて(MS12-008,009,010,011,012,013,014,015,016)(2012年02月15日)	http://www.npa.go.jp/cyberpolice/#topics

Change Log

No	Changed Details	Date of change
0	[2012年02月16日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2010-3138

Summary	Untrusted search path vulnerability in the Indeo Codec in iac25_32.ax in Microsoft Windows XP SP3 allows local users to gain privileges via a Trojan horse iacenc.dll file in the current working directory, as demonstrated by access through BS.Player or Media Player Classic to a directory that contains a .avi, .mka, .ra, or .ram file, aka "Indeo Codec Insecure Library Loading Vulnerability." NOTE: some of these details are obtained from third party information.
Publication Date	Aug. 28, 2010, 4 a.m.
Registration Date	Jan. 29, 2021, 11:05 a.m.
Last Update	Nov. 21, 2024, 10:18 a.m.

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:microsoft:windows_media_player::::::::
cpe:2.3:o:microsoft:windows_xp::sp3::::::*

Configuration2		or higher	or less	more than	less than
cpe:2.3:a:bsplayer:bs.player::::::::

Related information, measures and tools

No	URL	タグ
1	http://osvdb.org/67588
2	http://osvdb.org/67588
3	http://secunia.com/advisories/41114	Vendor Advisory
4	http://secunia.com/advisories/41114	Vendor Advisory
5	http://www.exploit-db.com/exploits/14765	Exploit
6	http://www.exploit-db.com/exploits/14765	Exploit
7	http://www.exploit-db.com/exploits/14788	Exploit
8	http://www.exploit-db.com/exploits/14788	Exploit
9	http://www.us-cert.gov/cas/techalerts/TA12-045A.html	US Government Resource
10	http://www.us-cert.gov/cas/techalerts/TA12-045A.html	US Government Resource
11	http://www.vupen.com/english/advisories/2010/2190	Vendor Advisory
12	http://www.vupen.com/english/advisories/2010/2190	Vendor Advisory
13	http://www.zeroscience.mk/en/vulnerabilities/ZSL-2010-4956.php
14	http://www.zeroscience.mk/en/vulnerabilities/ZSL-2010-4956.php
15	https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-014
16	https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-014
17	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A7132
18	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A7132

Common Vulnerabilities List