JVN（Japan Vulnerability Notes）は、オートデスク株式会社のinstallerにおける入力で指定されたインデックス、位置、またはオフセットの不適切な検証に関する脆弱性を公表した。対象製品は Autodesk Installer 2.23 未満で、CVSS v3 の基本値は 5.5（警告）である。
脆弱性の詳細
本脆弱性は、Autodesk Installer の IPC フレームパーサーで悪意を持って作成された入力を処理した際に、入力で指定された位置またはオフセットの検証が不適切となり、範囲外の文字列操作が発生する問題である。攻撃元区分はローカル、攻撃条件の複雑さは低、攻撃に必要な特権レベルは低、利用者の関与は不要、影響の想定範囲は変更なしである。
悪用された場合、NT AUTHORITY\SYSTEM サービスが予期せず終了し、サービス運用の停止につながる可能性がある。機密性および完全性への影響はなし、可用性への影響は高とされている。
影響を受ける製品・バージョン
- オートデスク株式会社の Autodesk Installer 2.23 未満
推奨される対策
- 修正済み版への更新：Autodesk Installer を 2.23 以上に更新する。
- 実行環境の制御：インストーラの実行権限を必要最小限にし、信頼できないローカル入力や不審な実行を避ける。
- 配布物の管理強化：社内配布している場合は、配布元の一元管理、保管場所の権限制御、改ざん防止を徹底する。
- 回避策の確認：ベンダーや JVN iPedia に掲載された回避策や補足情報がある場合は、それに従って対応する。
日本の中小企業が今すぐ取るべき行動
- 最優先：利用状況の棚卸し：社内 PC や配布サーバに Autodesk Installer 2.23 未満が存在するか確認する。
- 次に：修正版の適用計画：業務影響の少ない時間帯を選び、2.23 以上への更新手順を確定する。
- 配布経路の是正：インストーラの保管場所と配布担当者を限定し、共有フォルダの書き込み権限を最小化する。
- 権限の見直し：一般利用者が任意のインストーラを自由に実行できないよう、端末管理と実行制御を見直す。
CSRIからの現場アドバイス
実運用では、更新が遅れた導入ツールやインストーラが共有フォルダに残り続けるケースがある。配布物の権限管理が不十分なまま運用されると、想定外の入力や不正な実行を許しやすくなるため、まずは該当 installer の所在と版数を把握し、配布経路を一本化することが重要である。
インストール時に処理される位置やオフセットの値を正しく検証できないと、想定外の処理が起きるおそれがある。したがって、更新までの間は共有フォルダの書き込み権限を最小化し、正規の入手経路で取得した修正版のみを利用する運用に切り替えることが望ましい。
まず社内にある該当 installer の場所と版を確認し、配布元を一つに絞る。次に担当者またはベンダーに、JVN の公表内容に基づく修正版の適用可否と手順を確認し、計画的に更新を進める。
参照: オートデスク株式会社のinstallerにおける入力で指定されたインデックス、位置、またはオフセットの不適切な検証に関する脆弱性