富士フイルムビジネスイノベーション

ApeosPort-VI C7771/C6671/C5571/C4471/C3371/C2271、DocuCentre-VI C7771/C6671/C5571/C4471/C3371/C2271向けプリンタードライバー、ダイレクトファクスドライバーおよび設定復元ツールのインストールパッケージ任意DLL読み込みに関する脆弱性について

2017年8月31日
2017年9月6日更新

対象パッケージ

  • ART-EXドライバー 登録日2017年4月19日以前のパッケージ
  • PostScript ドライバー 登録日2017年5月26日以前のパッケージ
  • XPS対応ドライバー 登録日2016年12月1日以前のパッケージ
  • ART EXダイレクトファクスドライバー 登録日2017年6月30日以前のパッケージ
  • 設定復元ツール 登録日2015年10月9日以前のパッケージ

詳細情報

当該バージョンのインストールパッケージ、及び、インストーラ(fxcominst.exe)には、exeファイル起動時に、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性 (CWE-427) があります。

そのため、インストールパッケージ解凍、及び、インストーラ起動時に、exeファイルと同一のフォルダーに悪意のあるDLLが存在すると、任意のコードが実行される恐れがあります。

  • 注記 本脆弱性の影響を受けるのはインストールパッケージの解凍時、及び、インストーラの起動時のみです。インストール後の利用については問題ございません。

脆弱性への対応

セキュリティ対策を行ったインストールパッケージを新たに作成いたしました。注意事項に従い、以下のパッケージをご利用ください。

  • ART-EXドライバー 登録日2017年8月以降のパッケージ
  • PostScript ドライバー 登録日2017年8月以降のパッケージ
  • XPS対応ドライバー 登録日2017年8月以降のパッケージ
  • ART EXダイレクトファクスドライバー 登録日2017年8月以降のパッケージ
  • 設定復元ツール 登録日2017年8月以降のパッケージ

<注意事項>

  • インストールパッケージの解凍時に作成される解凍フォルダーには、インストールパッケージに含まれている以外のファイルを配置しないでください。
  • 本セキュリティ対策を有効にするために、インストールパッケージの実行前に最新のWindowsセキュリティパッチを適用してください。ただしWindows XP/Windows Server 2003以前のOSでは本セキュリティ対策を有効にするセキュリティパッチは提供されておりません。
  • ART-EXドライバーおよびART EXダイレクトファクスドライバーのドライバーセットアップディスク作成ツールをご利用になる場合は、何も配置されていない新規フォルダーを作成し、そのフォルダーを「作成先フォルダー」で指定してください。作成したドライバーセットアップディスクのフォルダー以下には、作成ツールが作成した以外のファイルを置かずにご利用ください。

回避方法

やむを得ず旧インストールパッケージを利用する場合やWindowsセキュリティパッチが適用できない場合は、何も配置されていない新規フォルダーを作成し、その中にインストールパッケージ(exeファイル)を格納してから解凍を実施して下さい。その上で、解凍フォルダーに最初に含まれている以外のファイルを置かずにインストール作業を実施して下さい。

関連情報

JVN#09769017 富士ゼロックス株式会社製の複数の製品における DLL 読み込みや実行ファイル呼び出しに関する脆弱性