JVN#12493656: 定量的プロジェクト管理ツールのインストーラにおける任意の DLL 読み込みに関する脆弱性

定量的プロジェクト管理ツール（EPM-X）のインストーラには、任意の DLL 読み込みに関する脆弱性が存在します。

独立行政法人情報処理推進機構 (IPA) が提供する定量的プロジェクト管理ツール（EPM-X）のインストーラには、同一ディレクトリに存在する特定の DLL ファイルを読み込んでしまう脆弱性が存在します。

インストーラを実行している権限で、任意のコードを実行される可能性があります。

定量的プロジェクト管理ツールのインストーラを使用しない
定量的プロジェクト管理ツールの開発およびサポートは既に終了しています。定量的プロジェクト管理ツールのインストーラを使用しないでください。

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
独立行政法人情報処理推進機構 (IPA)	該当製品あり	2017/05/19	独立行政法人情報処理推進機構 (IPA) の告知ページ

CVSS v3 CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

基本値: 7.8

CVSS v2 AV:N/AC:M/Au:N/C:P/I:P/A:P

基本値: 6.8

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 橘総合研究所英利雅美氏

JVN#12493656 定量的プロジェクト管理ツールのインストーラにおける任意の DLL 読み込みに関する脆弱性