FUJI ELECTRIC Pupsman DLL Search Path Pre-Auth RCE (CVE-2026-56437)

脆弱性概要 脆弱性番号: JVN#62347140 脆弱性の名称: Pupsmanインストーラーにおける複数の脆弱性 説明: - 制御不能な検索パス要素 (CVE-427): - CVSS 4.0: AV:L/AC:L/AT:N/PR:N/UI:R/V:C/H:I/VA:H/SC:N/SI:SA:N ベーススコア 8.4 - CVSS 3.0: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H ベーススコア 7.8 - CVE-2026-56437 - 攻撃者が、影響を受けるインストーラーが配置されているフォルダ内に特製DLLファイルを配置し、インストーラーを実行できる。 - 不適切なデフォルト権限 (CVE-276): - CVSS 4.0: AV:L/AC:L/AT:N/PR:L/UE:N/VC:H/VI:VA:H/SC:N/SE:N/SA:N ベーススコア 8.5 - CVSS 3.0: AV:L/AC:L/PR:L/UE:N/S:U/C:H/I:H/A:H ベーススコア 7.8 - CVE-2026-57895 - 攻撃者がインストーラーのフォルダ内に悪意ある実行可能ファイルを配置することで、SYSTEM権限で任意のコードが実行される。 影響範囲 影響を受ける製品: Pupsman バージョン 3.9.0 以前 影響: - 影響を受けるインストーラーが配置されているフォルダ内に特製DLLファイルを配置し、インストーラーを実行することで、SYSTEM権限で任意のコードが実行される可能性がある（CVE-2026-56437）。 - 攻撃者がインストーラーのフォルダ内に悪意ある実行可能ファイルを配置することで、SYSTEM権限で任意のコードが実行される（CVE-2026-57895）。 修正方法 対処: ソフトウェアの更新 具体的な手順: 開発者提供の情報に基づき、Pupsman バージョン 3.9.0 以上のバージョンを使用する。 その他の情報 ベンダーのステータス: - ベンダー: 富士電機株式会社 (FUJI ELECTRIC CO., LTD.) - リンク: Pupsman (日本語テキスト) 参照先: - 日本版脆弱性ノート JVN#62347140 - 多くのWindowsアプリケーションに見られる、不安全なDLL読み込みおよびコマンド実行の問題 クレジット: - 報告者: GMO Cybersecurity by HERAE, Inc. の Katsura Matsumoto - 調整責任者: JPCERT/CC が、セキュリティ情報早期警報パートナーシップの枠組みのもとで開発者との調整を行った。 関連リンク JPCERT アラート JPCERT レポート CERT アドバイザリー CPNI アドバイザリー TRoots CVE: - CVE-2026-56437 - CVE-2026-57895 JVN iPedia: JVNDB-2026-000095 著作権情報 著作権 © 2000-2026 JPCERT/CC および IPA。無断転載・転用を禁ず。

目標達成 すべての支援者に感謝 — 100%達成しました！

FUJI ELECTRIC Pupsman DLL Search Path Pre-Auth RCE (CVE-2026-56437)

目標達成すべての支援者に感謝 — 100%達成しました！