JVNDB-2025-010118

Lakeside Software 製 SysTrack におけるファイル検索パスの制御不備の脆弱性

Lakeside Software が提供する SysTrack には、ファイル検索パスの制御不備の脆弱性が存在します。

SysTrack は、複数のダイナミックリンクライブラリ (DLL) をロードする実行ファイル「LsiAgent.exe」を NT AUTHORITY\SYSTEM 権限で内部的に実行します。しかし、このプログラムは DLL ファイルをロードするファイルや場所を適切に確認しないため、SYSTEM PATH 環境変数にユーザーが書き込み可能なディレクトリが指定されている場合、ローカルユーザーが同名の悪意のある DLL をこのディレクトリに配置することで、その DLL が SYSTEM 権限で実行される可能性があります。この脆弱性に対して (CVE-2025-6241) がアサインされています。

Lakeside Software, LLC.

• SysTrack Agent (LsiAgent.exe) バージョン 10.10.0.42 より前のバージョン

認証されたユーザーによって権限昇格され、任意のコードを実行される可能性があります。

[Hotfix を適用する]
開発者が提供する情報をもとに、Hotfix を適用してください。

Lakeside Software, LLC.

• Lakeside Software : 10.10 Hotfix Agent Release Notes On Premises

1. CVE-2025-6241

1. JVN : JVNVU#90163061
2. US-CERT Vulnerability Note : VU#335798

• [2025年07月29日]
    掲載