VAIO用アップデートソフト「VAIO Update」に複数の脆弱性 IPAが報告

[ITmedia]

　IPA（独立行政法人情報処理推進機構）セキュリティセンターとJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）は6月21日、ソニーが提供するアップデートプログラムの「VAIO Update」に複数の脆弱（ぜいじゃく）性が存在すると発表した。

　今回、VAIO Updateで確認された脆弱性は“不適切な認可処理”（CVE-2019-5981）と“ダウンロードファイルの検証不備”（CVE-2019-5982）の2種類で、「任意の実行ファイルを管理者権限で実行される」「中間者（man-in-the-middle）攻撃によって、不正なファイルをダウンロードさせられたり、不正なプログラムを実行させられたりする」といった方法で、悪意のある第三者から任意のプログラムを実行される可能性がある。

　該当するバージョンは「VAIO Update 7.3.0.03150以前」で、これらの脆弱性は最新版にアップデートすることで解消される。なお最新版へのアップデートは、インターネットに接続した状態でVAIO Updateを起動することで自動的に最新版（VAIO Update 7.4.0.15200以降）が適用される。