JVNVU#94145643
オムロン製 Network Configurator for DeviceNet における DLL 読み込みに関する脆弱性

オムロン株式会社が提供する Network Configurator for DeviceNet には、DLL 読み込みに関する脆弱性が存在します。

• Network Configurator for DeviceNet Safety 3.41 およびそれ以前

オムロン株式会社が提供する Network Configurator for DeviceNet には、DLL を読み込む際の検索パスに問題があり、アプリケーションの制御下にないディレクトリから特定の DLL を読み込んでしまう脆弱性 (CWE-426) が存在します。

プログラムを実行している権限で、任意のコードを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性に対応した Network Configurator for DeviceNet Safety 3.42 がリリースされています。

ワークアラウンドを実施する

• PATH 環境変数にあるディレクトリを制限もしくは削除する。
• システムディレクトリへの書き込み権限は、管理者のみに制限する(Windows の初期設定)。
• Windows PC は、一般ユーザアカウントで使用する。管理者ユーザは必要な場合にのみ使用する。
• アプリケーションがインストールされているディレクトリに不審なファイルが置かれていないか確認する。
• プロジェクトファイルをダブルクリックする前に、同一ディレクトリに不審なファイルが置かれていないか確認する。または、一時的に作成するディレクトリもしくは安全が確認されているディレクトリにプロジェクトファイルをコピーする。