ソニーグループが提供する Media Go および Music Center for PC はファイル管理ツールです。Media Go および Music Center for PC のインストーラには、DLL を読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性(CWE-427) が存在します。 CVE-2017-10891 は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 洲崎 俊 氏、橘総合研究所 英利 雅美 氏

Media Go への対策： [Media Go をインストールしない] 本脆弱性への対策は存在しないため、Media Go をインストールしないでください。 開発者によると、既にインストール済みのユーザは本脆弱性の影響を受けませんが、Media Go は 2017年12月末に配布の終了を予定しているため、後継製品である Music Center for PC の使用を推奨しているとのことです。 Music Center for PC への対策： [最新のインストーラを使用する] 開発者が提供する情報をもとに、最新のインストーラを使用してください。 また、Music Center for PC を新規インストールする際は、インストーラと同じディレクトリに不審なファイルがないことを確認してからインストーラを実行してください。 開発者によると、既にインストール済みのユーザは本脆弱性の影響を受けませんが、最新のバージョンでは本脆弱性とは別の不具合も修正されているため、アップデートを推奨しているとのことです。