国土交通省が提供する電子成果物作成支援・検査システムのインストーラおよびインストーラを含む自己解凍書庫には、DLL を読み込む際の検索パスに関する処理に不備があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: 橘総合研究所 英利 雅美 氏

[最新の自己解凍書庫を使用してインストールする] 開発者が提供する情報をもとに、最新の自己解凍書庫を使ってインストールを行ってください。 自己解凍書庫については、2017年6月20日に、対策済みの Lhaplus を使って新たに作成されたファイルに置き換えられています。また、自己解凍書庫を展開して得られたインストーラを実行する際には、細工された DLL ファイルが同一ディレクトリ内に存在しないことを確認してください。 なお、本脆弱性の影響を受けるのはインストーラや自己解凍書庫の起動時のみのため、当該製品をすでにインストール済みの場合は対策を行う必要はありません。 詳しくは、開発者が提供する情報をご確認ください。