国土交通省国土技術政策総合研究所が提供する道路施設基本データ作成システムのインストーラには、DLL を読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 橘総合研究所 英利 雅美 氏

[ワークアラウンドを実施する] インストーラを実行する際、同一ディレクトリ内に不審なファイルが存在しないことを確認してください。 開発者によると、配布されているファイルは、ディレクトリ「インストーラ」の下にインストーラ本体 (setup.exe) が置かれた状態をアーカイブしているとのことです。このアーカイブファイルをそのまま展開することで、「インストーラ」ディレクトリが作成され、そのなかに setup.exe が置かれている状態になります。この状態では、インストーラ (setup.exe) と同一のディレクトリ(「インストーラ」ディレクトリ)に不審な DLL ファイルは存在しない状態となっています。setup.exe を実行する前に「インストーラ」ディレクトリに余計なファイルを置いたりしないよう注意してください。