ContentsBridge Utility for Windowsインストールパッケージの任意DLL読み込みに関する脆弱性について

2017年8月31日

対象バージョン

Ver 7.4.0以前

詳細情報

当該バージョンのインストールパッケージ、及び、インストーラには、exeファイル起動時に、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性（CWE-427）があります。

そのため、インストールパッケージ解凍、及び、インストーラ起動時に、exeファイルと同一のフォルダに悪意のあるDLLが存在すると、任意のコードが実行される恐れがあります。

• 注記 本脆弱性の影響を受けるのはインストールパッケージの解凍時、及び、インストーラの起動時のみです。インストール後の利用については問題ございません。

脆弱性への対応

セキュリティ対策を行ったインストールパッケージを新たに作成いたしました。以下のバージョンで修正されています。

• ContentsBridge Utility for Windows 7.5.0以降（cbuj750.exe）

• 注記 インストールパッケージを解凍後、解凍フォルダにある「set_up.exe」を実行して下さい。また、解凍フォルダには最初に含まれている以外のファイルを置かないで下さい。

回避方法

やむを得ず旧インストールパッケージを利用する場合は、何も配置されていない新規フォルダを作成し、その中にインストールパッケージ（exeファイル）を格納してから、解凍を実施して下さい。その上で、解凍フォルダに最初に含まれている以外のファイルを置かずに、インストール作業を実施して下さい。

関連情報

JVN#09769017 富士ゼロックス株式会社製の複数の製品における DLL 読み込みや実行ファイル呼び出しに関する脆弱性