独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月7日、SKYSEA Client View における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ラックの北原憲氏、GMOサイバーセキュリティ byイエラエ株式会社のルスラン サイフィエフ氏とデニス ファウストヴ氏が報告を行っている。
影響を受けるシステムは以下の通り。

・CVE-2024-21805
SKYSEA Client View Ver.16.100 から Ver.19.2 より前のバージョン

・CVE-2024-24964
SKYSEA Client View Ver.11.220 から Ver.19.2 より前のバージョン

　Sky 株式会社が提供するIT 資産管理用ツール SKYSEA Client View には、当該製品の Windows クライアントがインストールされた PC にログイン可能なユーザによって下記の影響を受ける可能性がある複数の脆弱性が存在する。

・特定フォルダにおけるアクセス制限不備（CVE-2024-21805）
→任意のファイルを特定のフォルダに配置され、配置されたファイルが細工された DLL ファイルの場合、結果として SYSTEM 権限で任意のコードを実行される。

・常駐プロセスにおけるアクセス制限不備（CVE-2024-24964）
→ SYSTEM 権限で任意のプロセスを実行される

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするか、SKYSEA Client View Ver.17.0 から Ver.19.101 までのユーザ向けに提供された修正パッチを適用するよう呼びかけている。なお当該脆弱性は、SKYSEA Client View Ver.19.2 で修正されている。

元の記事を読む

編集部おすすめ