【活用ガイド】

[English]

JVNDB-2017-000239

Media Go および Music Center for PC のインストーラにおける DLL 読み込みに関する脆弱性

概要

ソニーグループが提供する Media Go および Music Center for PC はファイル管理ツールです。Media Go および Music Center for PC のインストーラには、DLL を読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性(CWE-427) が存在します。

CVE-2017-10891 は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 洲崎 俊 氏、橘総合研究所 英利 雅美 氏

CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.8 (重要) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 6.8 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


ソニービデオ&サウンドプロダクツ株式会社
  • Media Go バージョン 3.2.0.191 およびそれ以前 (CVE-2017-10891)
  • Music Center for PC バージョン 1.0.00 (CVE-2017-10892)

想定される影響

インストーラを実行している権限で、任意のコードを実行される可能性があります。
対策

Media Go への対策：
[Media Go をインストールしない]
本脆弱性への対策は存在しないため、Media Go をインストールしないでください。
開発者によると、既にインストール済みのユーザは本脆弱性の影響を受けませんが、Media Go は 2017年12月末に配布の終了を予定しているため、後継製品である Music Center for PC の使用を推奨しているとのことです。

Music Center for PC への対策：
[最新のインストーラを使用する]
開発者が提供する情報をもとに、最新のインストーラを使用してください。
また、Music Center for PC を新規インストールする際は、インストーラと同じディレクトリに不審なファイルがないことを確認してからインストーラを実行してください。
開発者によると、既にインストール済みのユーザは本脆弱性の影響を受けませんが、最新のバージョンでは本脆弱性とは別の不具合も修正されているため、アップデートを推奨しているとのことです。
ベンダ情報

ソニービデオ&サウンドプロダクツ株式会社
CWEによる脆弱性タイプ一覧  CWEとは?

  1. その他(CWE-Other) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2017-10891
  2. CVE-2017-10892
参考情報

  1. JVN : JVNTA#91240916
  2. JVN : JVN#08517069
  3. National Vulnerability Database (NVD) : CVE-2017-10891
  4. National Vulnerability Database (NVD) : CVE-2017-10892
更新履歴

  • [2017年11月21日]
      掲載
    [2017年12月13日]
      対策：内容を追記
  • [2018年03月14日]
      参考情報：National Vulnerability Database (NVD) (CVE-2017-10891) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2017-10892) を追加

公表日2017/11/21
登録日2017/11/21
最終更新日2018/03/14