DocuWorksインストールパッケージの任意DLL読み込みに関する脆弱性について

2017年8月31日

対象バージョン

• DocuWorks 8.0.7以前

詳細情報

当該バージョンのインストールパッケージ（exeファイル）には、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性（CWE-427）があります。

そのため、インストールパッケージを起動し解凍する時に、exeファイルと同一のフォルダに悪意のあるDLLが存在すると、任意のコードが実行される恐れがあります。

• 注記 本脆弱性の影響を受けるのはインストールパッケージの解凍時のみです。インストール後のDocuWorksの利用については問題ございません。

脆弱性への対応

セキュリティ対策を行ったインストールパッケージを新たに作成いたしました。以下のバージョンで修正されています。

• DocuWorks 8.0.8新規/アップグレードインストーラ (32bit/64bit版)
• DocuWorks 8.0.8 アップデートインストーラ(32bit/64bit版)
• DocuWorks 8.0.7 Viewer Light インストーラ 登録日2017年8月以降のパッケージ

• 注記 解凍後のフォルダには最初に含まれている以外のファイルを置かないで下さい。

回避方法

やむを得ず旧インストールパッケージを利用する場合は、空の新規フォルダを作成し、その中にインストールパッケージ（exeファイル）を格納してから、起動および解凍を実施して下さい。その上で、解凍後のフォルダに最初に含まれている以外のファイルを置かずに、インストール作業を実施して下さい。

関連情報

JVN#09769017 富士ゼロックス株式会社製の複数の製品における DLL 読み込みや実行ファイル呼び出しに関する脆弱性