経済産業省資源エネルギー庁が提供する定期報告書作成支援ツールには、DLL を読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。 当該製品は ZIP 形式で配布されており、ユーザはホームディレクトリ上で ZIP ファイルを展開し、当該製品をそのまま実行することが想定されます。展開場所に、細工された DLL が一緒に置いてある状態で当該製品を実行すると、細工された DLL が読み込まれ、DLL に含まれているコードが実行されてしまいます。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 三井物産セキュアディレクション株式会社 吉川 孝志 氏

[最新版を使用する] 定期報告書作成支援ツールの最新版を使用してください。 定期報告書作成支援ツールv4.1 においては、当該製品はシステム領域にインストールされます。そのため、当該製品と同一のディレクトリ上に、細工された DLL を第三者によって配置される、もしくは被害者自ら意図せず置いてしまうリスクが軽減されます。