InstallShield製品などにバッファオーバーフローの脆弱性

ユーザー権限で任意のコードが実行される可能性がある

[ITmedia]

　米Acresso Softwareのインストーラ開発ソフトウェア「InstallShield」などにバッファオーバーフローの脆弱性が見つかった。US-CERTやJPCERT コーディネーションセンター（JPCERT C/C）などが情報を公開した。

　JPCERT C/Cによると、脆弱性はWindows向けソフトウェアインストーラーや「isusweb.dll」で提供されるActiveXコントロール「Update Service Agent」に存在する。ユーザーが細工されたWebサイトやHTMLドキュメントを閲覧すると、リモートから任意のコードを実行される可能性がある。

　対象製品は、「FLEXnet Connect 6.x」「InstallShield 2008 Premier」「Update Service 3.x〜5.x」。Acressoは4月に米Macrovisionから独立、創業し、InstallShieldや製造業・物流業向けの実行管理ソリューションのFLEXnet Connectを提供している。

　Acressoは修正パッチを公開して、ユーザーに適用を呼びかけている。US-CERTでは、修正パッチ以外の対処としてキルビット設定などでInternet ExplorerのActiveXコントロールを無効にするなどの方法を紹介している。

過去のセキュリティニュース一覧はこちら