JVNVU#90163061
Lakeside Software製SyStrackにおけるファイル検索パスの制御不備の脆弱性

Lakeside Softwareが提供するSyStrackには、ファイル検索パスの制御不備の脆弱性が存在します。

• SysTrack Agent（LsiAgent.exe）バージョン 10.10.0.42より前のバージョン

SyStrackは、複数のダイナミックリンクライブラリ（DLL）をロードする実行ファイル「LsiAgent.exe」をNT AUTHORITY\SYSTEM権限で内部的に実行します。しかし、このプログラムはDLLファイルをロードするファイルや場所を適切に確認しないため、SYSTEM PATH環境変数にユーザーが書き込み可能なディレクトリが指定されている場合、ローカルユーザーが同名の悪意のあるDLLをこのディレクトリに配置することで、そのDLLがSYSTEM権限で実行される可能性があります。この脆弱性に対して（CVE-2025-6241）がアサインされています。

認証されたユーザーによって権限昇格され、任意のコードを実行される可能性があります。

Hotfixを適用する
開発者が提供する情報をもとに、Hotfixを適用してください。