情報処理推進機構：情報セキュリティ：複数のジャストシステム製品におけるセキュリティ上の弱点（脆弱性）の注意喚起

HOME >> 情報セキュリティ >> 脆弱性対策 >> 複数のジャストシステム製品におけるセキュリティ上の弱点（脆弱性）の注意喚起

情報セキュリティ

複数のジャストシステム製品におけるセキュリティ上の弱点（脆弱性）の注意喚起

最終更新日　2008年1月7日
掲載日　2008年1月7日
>> ENGLISH

　独立行政法人情報処理推進機構（略称：IPA、理事長：藤原武平太）は、複数のジャストシステム製品におけるセキュリティ上の弱点（脆弱性）に関する注意喚起を、2008年1月7日に公表しました。
　これは、「一太郎シリーズ」などを含む複数のジャストシステム製品の利用者が、ウェブブラウザやメール経由で悪意ある文書ファイルを閲覧した場合に、任意のコードが実行されてしまうというものです。
　悪用されると、システムが破壊されたり、ウイルスやボットに感染させられたりしてしまう可能性があります。
　対策方法、回避策は製品により異なります。ジャストシステムが提供する情報をもとに対応して下さい。

１．概要

　株式会社ジャストシステムは、日本語ワープロソフトの「一太郎シリーズ」など、日本国内で広く利用されているソフトウェア製品を複数、開発および販売しています。

　日本語ワープロソフトの「一太郎シリーズ」、総合グラフィックソフトウェアの「花子」、表計算ソフトの「三四郎」など、複数のジャストシステム製品には、文書ファイルを読みこむ際に、バッファオーバーフロー(*1)というセキュリティ上の弱点(脆弱性)があるため、任意のコードが実行されてしまう可能性があります。対象製品の詳細は、次のURLを参照して下さい。
http://www.justsystems.com/jp/info/pd8001.html

　この脆弱性は、2007年10月25日に公表した「『一太郎シリーズ』における3つのセキュリティ上の弱点（脆弱性）の注意喚起」とは別のものです。

　最新情報は、次のURLを参照して下さい。
http://jvndb.jvn.jp/contents/ja/2008/JVNDB-2008-000001.html

　本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき、2007年12月17日に次の方からIPA が届出を受け、有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）が製品開発者と調整を行ない、2008年1月7日に公表したものです。
　報告者: (株)フォティーンフォティ技術研究所　鵜飼裕司氏

２．脆弱性による影響

　ジャストシステム製品の利用者が、ウェブブラウザで悪意ある文書ファイルを閲覧したり、メール経由で悪意ある文書ファイルを閲覧した場合に、システムが破壊されたり、ウイルスやボットに感染させられたりしてしまう可能性があります。

　この結果、コンピュータが悪意あるユーザによって制御される恐れがあります。

　特に、ウェブブラウザでの閲覧の場合、ウェブブラウザの種類によっては、ダウンロード後に開く等の操作を行わなくても、悪意あるURLにアクセスするだけで被害を受けてしまう可能性があります。

複数のジャストシステム製品おけるセキュリティ上の弱点（脆弱性）

３．対策方法

　対策方法、回避策は製品により異なります。ジャストシステムが提供する、下記URLの「ジャストシステム製品共通のバッファオーバーフロー脆弱性」をもとに対応して下さい。
http://www.justsystems.com/jp/info/pd8001.html

４．本脆弱性の深刻度

(1)評価結果

本脆弱性の深刻度	□ I（注意）	■ II（警告）	□ III（危険）
本脆弱性のCVSS基本値		6.8

(2)CVSS基本値の評価内容

AV：攻撃元区分	□ ローカル	□ 隣接	■ ネットワーク
AC：攻撃条件の複雑さ	□ 高	■ 中	□ 低
Au：攻撃前の認証要否	□ 複数	□ 単一	■ 不要
C：機密性への影響　（情報漏えいの可能性）	□ なし	■ 部分的	□ 全面的
I：完全性への影響　（情報改ざんの可能性）	□ なし	■ 部分的	□ 全面的
A：可用性への影響　（業務停止の可能性）	□ なし	■ 部分的	□ 全面的

注）・■：選択した評価結果
・AV:AccessVector, AC:AccessComplexity, Au:Authentication,
C:ConfidentialityImpact, I:IntegrityImpact, A:AvailabilityImpact

５．参考情報

(1)「情報セキュリティ早期警戒パートナーシップ」について

　ソフトウェア製品及びウェブサイトの脆弱性対策を促進し、コンピュータウイルスやコンピュータ不正アクセス等によって、不特定多数のコンピュータ(パソコン）に対して引き起こされる被害を予防するため、経済産業省の告示に基づき、官民の連携体制「情報セキュリティ早期警戒パートナーシップ」を整備し運用しています（図5-1参照）。

　最新の届出状況は、「脆弱性関連情報に関する届出状況（プレスリリース）」を参照下さい。