JVNVU#96447193
三菱電機製複数のFAエンジニアリングソフトウェア製品におけるインストール時の不適切なファイルアクセス権設定の脆弱性

三菱電機株式会社が提供する複数のFAエンジニアリングソフトウェア製品には、 特定の条件下におけるインストール時のファイルアクセス権の設定が不適切な脆弱性が存在します。

影響を受ける製品およびバージョンは次の通りです。

• GX Works3 すべてのバージョン

• 「GX Works3 オペレーティングマニュアル」
  • 「1.8 GX Works3 の操作方法について調べる」の「GX Works3 のバージョン確認」

• 開発者が公開しているCVE-2020-14496に関するアドバイザリに記載されている対策済バージョンを使用し、デフォルトのインストールフォルダに該当製品をインストールしている場合

三菱電機株式会社が提供する複数のFAエンジニアリングソフトウェア製品には、2020年7月30日に公開された、インストール時のファイルアクセス権の設定が不適切な脆弱性（CWE-276、CVE-2020-14496）への対策が不十分であったことに起因する、デフォルトのインストールフォルダ以外へインストールする際のファイルアクセス権の設定が不適切な脆弱性（CVE-2023-4088）が存在します。

本脆弱性が悪用された場合、悪意のあるプログラムが実行され、当該製品内部の情報を取得、改ざん、削除されたり、当該製品がサービス運用妨害（DoS）状態にされたりする可能性があります。

ワークアラウンドを実施する
開発者は以下の回避策ないし軽減策を推奨しています。

• 開発者が公開しているCVE-2020-14496に関するアドバイザリに記載されている対策済バージョンを、デフォルトのインストールフォルダへインストールする。インストールフォルダの変更が必要な場合には、管理者権限を持ったユーザのみに変更権限が与えられたフォルダを、インストールフォルダとして指定する。
• 当該製品を使用する端末をLAN内で使用し、信頼できないネットワークやホスト、ユーザからのリモートログインをブロックする
• 当該製品を使用する端末をインターネットに接続する場合には、ファイアウォールや仮想プライベートネットワーク（VPN）等で不正アクセスを防止したうえで、信頼できるユーザのみにリモートログインを許可する。
• 信頼できないファイルを開いたり、信頼できないリンクをクリックしない。