重要な脆弱性情報 件名 製品利用ユーザーによるDesign Studioライセンス認証における、Javaのデシリアライズ攻撃を用いたMCライセンスサーバーでの任意コード実行 影響バージョン - 修正ID - 修正バージョン 影響Ver: 修正ID: 修正Ver: 現象 Design Studioの製品利用ユーザーがパスワードを用いて、悪意のあるJavaコードを含むシリアライズファイルを、Tomcatサーバー上の製品フォルダに直接送信します。このJavaコードを実行することで任意のコード実行が可能となるという指摘があります。 影響条件 再現には以下の条件が必要です。 Design Studioの製品利用ユーザーがパスワードを保持している Design StudioからTomcatへのHTTP通信が可能である MCライセンスサーバー環境に接続している 対策方法 最優先の対策としては、Design Studioで認証されるユーザーがパスワードを用いてサーバー上のファイルを直接操作する必要があるため、Tomcatの構成フォルダをデフォルトから変更することで、本脆弱性への対策が可能です。インストール済み環境でパスワードを変更する場合は、元の状態への復元（クリーンインストール相当の手順）が必要です。 新規導入ユーザーについては、Design Studio側のパスワードを使用されないよう、IDおよびパスワードの適切な管理をお願いします。 前述の脆弱性が再現した際、ファイルをシリアライズして送信する段階でWindows Defenderによるブロックが発生しました。そのため、内部利用者に対する対策として、セキュリティソフトの点検も本脆弱性への有効な対策と考えます。 非Tomcat環境（POC環境）において、外部公開されているサーバーで検証するなど、何らかの事情により追加の対策が必要な場合は、営業担当者または弊社テクニカルサポートまでご連絡ください。 注意事項 本指摘を受け、製品の取扱手順書においても、Tomcatのインストールパスをランダムにすることのご案内を追加しております。（製品インストール手順） 参考情報 製品インストール手順 初公開日 2025/02/02 17:00 最終公開日 2025/04/09 03:34 更新履歴 URL名: 39553373809305