セキュリティブログ
【脆弱性情報／JVN】SBI証券のトレーディングツールのインストーラに任意コード実行の脆弱性
2017.11.10
独立行政法人 情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）から11月9日、「HYPER SBI のインストーラにおけるDLL読み込みに関する脆弱性」
との注意喚起がなされています。
この脆弱性が悪用されると、インストーラを実行している権限で、任意のコードを実行される可能性があるとのことです。
※以下、JVNさんウェブサイトより対策等抜粋です
HYPER SBI のインストーラには、DLL 読み込みに関する脆弱性が存在します。
- HYPER SBI Ver. 2.2 およびそれ以前
株式会社SBI証券が提供する HYPER SBI はトレーディングツールです。HYPER SBI のインストーラには、DLL を読み込む際の検索パスに問題があり、同一ディレクトリに存在する特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。
インストーラを実行している権限で、任意のコードを実行される可能性があります。
最新のインストーラを使用する
開発者が提供する情報をもとに、最新のインストーラを使用してください。
なお、本脆弱性の影響を受けるのはインストーラの起動時のみのため、既存のユーザは HYPER SBI をアップデートする必要はありません。
また開発者によると、既存のユーザが最新のインストーラを使用し HYPER SBI をアップデートする場合には、事前にデータを引き継ぐための作業をしておく必要があるとのことです。詳しくは開発者が提供する情報をご確認ください。
| ベンダ | ステータス | ステータス 最終更新日 |
ベンダの告知ページ |
|---|---|---|---|
| 株式会社SBI証券 | 該当製品あり | 2017/11/09 | 株式会社SBI証券 の告知ページ |
- Japan Vulnerability Notes JVNTA#91240916
Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題
分析結果のコメント
ユーザのシステムを攻撃する目的で作成された DLL ファイルを、攻撃者の意図する場所にユーザが自ら配置することを想定しています。
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: NTTセキュリティ・ジャパン株式会社 磯 侑斗 氏
| JPCERT 緊急報告 | |
| JPCERT REPORT | |
| CERT Advisory | |
| CPNI Advisory | |
| TRnotes | |
| CVE | CVE-2017-10885 |
| JVN iPedia | JVNDB-2017-000234 |
※ここまで
本件情報、ご確認とご注意をよろしくお願いいたします。
