JVNVU#96447193
三菱電機製複数のFAエンジニアリングソフトウェア製品におけるインストール時の不適切なファイルアクセス権設定の脆弱性

三菱電機株式会社が提供する複数のFAエンジニアリングソフトウェア製品には、インストール時のファイルアクセス権の設定が不適切な脆弱性が存在します。

影響を受ける製品およびバージョンは広範囲に及びます。

影響を受ける製品およびバージョン、またバージョンの確認方法等の詳細については、開発者が提供する情報を確認してください。

三菱電機株式会社が提供する複数のFAエンジニアリングソフトウェア製品には、デフォルト以外のインストールフォルダに当該製品がインストールされている場合、インストール時のファイルアクセス権の設定が不適切な脆弱性（CWE-276、CVE-2023-4088）が存在します。
なお、該当製品がデフォルトのインストールフォルダにインストールされている場合には、本脆弱性の影響を受けません。

本脆弱性が悪用された場合、悪意のあるプログラムが実行され、当該製品内部の情報を取得、改ざん、削除されたり、当該製品がサービス運用妨害（DoS）状態にされたりする可能性があります。

ワークアラウンドを実施する
開発者は以下の回避策ないし軽減策を推奨しています。

• デフォルトのインストールフォルダにインストールする（*1）
• インストールフォルダの変更が必要な場合には、管理者権限を持ったユーザのみに変更権限が与えられたフォルダを、インストールフォルダとして指定する
• 当該製品を使用する端末をLAN内で使用し、信頼できないネットワークやホスト、ユーザからのリモートログインをブロックする
• 当該製品を使用する端末をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等で不正アクセスを防止したうえで、信頼できるユーザのみにリモートログインを許可する。
• 信頼できないファイルを開いたり、信頼できないリンクをクリックしない。