JVNVU#93891820
三菱電機製GENESIS64およびMC Works64における複数の脆弱性

三菱電機製GENESIS64およびMC Works64には、複数の脆弱性が存在します。

CVE-2024-8299

• GENESIS64およびMC Works64
  • Version 10.97.2およびそれ以前の全バージョン
    • DialogicドライバをインストールせずにDialogic社製テレフォニーボードを使⽤しているか、Dialogic社製テレフォニーボード以外を使⽤している場合
  • Version 10.97.3およびそれ以降の全バージョン
    • DialogicドライバをインストールせずにDialogic社製テレフォニーボードを使⽤しているか、Dialogic社製テレフォニーボード以外を使⽤している場合で、かつマルチエージェント通知機能（*1）がインストールされている場合

• GENESIS64 Version 10.97.2、10.97.2 CFR1、10.97.2 CFR2、10.97.3

• 該当製品がデフォルト以外の保護されていないフォルダにインストールされている場合

• GENESIS64およびMC Works64
  • Version 10.97.2およびそれ以前の全バージョン
  • Version 10.97.3およびそれ以降の全バージョン
    • マルチエージェント通知機能（*1）がインストールされている場合

三菱電機製GENESIS64およびMC Works64には、次の複数の脆弱性が存在します。

• ファイル検索パスの制御不備（CWE-427）
  • CVSS:v3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.8
  • CVE-2024-8299
• デッドコード（CWE-561）
  • CVSS:v3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.0
  • CVE-2024-8300
• ファイル検索パスの制御不備（CWE-427）
  • CVSS:v3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値: 7.8
  • CVE-2024-9852

CVE-2024-8299、CVE-2024-9852
細工されたDLLを特定のフォルダに格納された場合、悪意のあるプログラムが実行され、当該製品上の情報の漏えいや改ざん、破壊、削除をされたり、当該製品がサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2024-8300
特定のDLLを改ざんされた場合、悪意のあるプログラムが実行され、当該製品上の情報の漏えいや改ざん、破壊、削除をされたり、当該製品がサービス運用妨害（DoS）状態にされたりする可能性があります。

アップデートする
CVE-2024-8300向け：
開発者が提供する情報をもとにアップデートしてください。

GENESIS64 Version 10.97.2系を使用している場合：
本脆弱性に対するセキュリティパッチ「10.97.2 Critical Fixes Rollup 3」（要ログイン）

GENESIS64 Version 10.97.3系を使用している場合
本脆弱性に対するセキュリティパッチ「10.97.3 Critical Fixes Rollup 1」（要ログイン）

ワークアラウンドを実施する
全脆弱性向け：

• 該当製品がインストールされたPCをLAN内で使用し、信頼できないネットワークやホスト、ユーザからのリモートログインをブロックする
• 該当製品がインストールされたPCをインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等で不正アクセスを防止したうえで、信頼できるユーザのみにリモートログインを許可する
• 該当製品がインストールされたPCおよび本PCが接続されているネットワークへの物理的なアクセスを制限する
• 信頼できない送信元からのメール等に記載されたWebリンクをクリックしない、また信頼できないメールに添付されたファイルを開かない

• Phoneエージェントを使用する必要があり、Dialogic社製テレフォニーボードを使用している場合は、Dialogic社から提供されたドライバをインストールする
• Phoneエージェントを使用する必要があり、Dialogic社製テレフォニーボード以外を使用している場合は、上記「ワークアラウンドを実施する」の全脆弱性向けとして記載している対策を適用する
• マルチエージェント通知機能を使用する必要がない場合には、マルチエージェント通知機能をアンインストールする
• マルチエージェント通知機能を使用する必要があり、かつPhoneエージェントが不要な場合には、マルチエージェント通知機能のカスタムインストールを実行し、Phoneエージェントをインストールの対象から除外する（使用しているOSのバージョンによって操作が異なるため、それら詳細については、開発者が提供する情報を確認してください）

• マルチエージェント通知機能を使用する必要がない場合には、マルチエージェント通知機能をアンインストールする
• マルチエージェント通知機能を使用する必要があり、かつFaxエージェントが不要な場合には、マルチエージェント通知機能のカスタムインストールを実行し、Faxエージェントをインストールの対象から除外する
• Faxエージェントをインストールする場合には、Windowsの「Windows FAXとスキャン」を有効にする（使用しているOSのバージョンによって操作が異なるため、それら詳細については、開発者およびMicrosoftが提供する情報を確認してください）
• 上記「ワークアラウンドを実施する」の全脆弱性向けとして記載している対策を適用する