JVN#27937557
RICOH Streamline NX PC Clientにおける複数の脆弱性

株式会社リコーが提供するRICOH Streamline NX PC Clientには、複数の脆弱性が存在します。

CVE-2025-36506、CVE-2025-46783

• RICOH Streamline NX V3 PC Client バージョン3.5.0から3.242.0

• RICOH Streamline NX V3 PC Client バージョン3.5.0から3.7.0

株式会社リコーが提供するRICOH Streamline NX PC Clientには、次の複数の脆弱性が存在します。

• ファイル名やパスの外部制御（CWE-73）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N 基本値 6.9
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L 基本値 6.5
  • CVE-2025-36506
• パストラバーサル（CWE-22）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2025-46783
• 信頼性の低い情報源の使用（CWE-348）
  • CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 2.0
  • CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N 基本値 2.5
  • CVE-2025-48825

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• 細工されたリクエストを送信された場合、ファイルシステム内の任意のファイルをログデータで上書きされる（CVE-2025-36506）
• 当該製品で使用する特定のファイルが改ざんされる。結果として、当該製品が動作するPC上で任意のコードを実行される（CVE-2025-46783）
• 中間者攻撃（man-in-the-middle attack）を実行可能な攻撃者によって、アップグレード要求を傍受され、カスタムコードを含むDLLを実行される（CVE-2025-48825）

アップデートする
開発者が提供する情報をもとに、修正バージョンに対応するインストーラを適用し、アップデートしてください。
詳細は、開発者が提供する情報を確認してください。