【CVE-2024-50307】Chatworkデスクトップ版アプリに危険な機能使用の脆弱性、外部サイトアクセスによる任意コード実行のリスクに対応急ぐ

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Chatworkデスクトップ版アプリ2.9.2未満の脆弱性
Chatworkデスクトップ版アプリの脆弱性詳細
潜在的に危険な機能の使用について
Chatworkデスクトップ版アプリの脆弱性に関する考察
参考サイト

記事の要約

Chatworkデスクトップ版アプリに危険な機能使用の脆弱性
外部サイトへのアクセスによる任意コード実行の可能性
最新版へのアップデートで対策が必要

Chatworkデスクトップ版アプリ2.9.2未満の脆弱性

株式会社kubellは2024年10月28日、Chatworkデスクトップ版アプリ（Windows）に潜在的に危険な機能使用の脆弱性が発見されたことを発表した。この脆弱性はCWE-676として分類され、アプリ内のリンクから任意の外部サイトにアクセスしてしまう問題が確認された。^[1]

脆弱性が存在するバージョンは2.9.2より前のバージョンであり、細工されたリンクをクリックすることで外部サイトから任意のファイルがダウンロードされ実行される可能性がある。この脆弱性は【CVE-2024-50307】として識別され、CVSS v3の基本値は5.5と評価されている。

開発者は対策として最新版へのアップデートを推奨しており、ワークアラウンドとしてWindows OSのSMBクライアント機能でゲストアクセスを無効化することで影響を軽減できる。脆弱性の発見は株式会社Flatt SecurityのRyotaK氏によるものであり、製品開発者への直接報告後にIPAへの報告がなされた。

Chatworkデスクトップ版アプリの脆弱性詳細

項目	詳細
脆弱性の種類	潜在的に危険な機能の使用（CWE-676）
影響を受けるバージョン	Chatworkデスクトップ版アプリ（Windows）2.9.2未満
CVSSスコア	基本値5.5（CVSS v3）
対策方法	最新版へのアップデート、SMBクライアント機能のゲストアクセス無効化
報告者	株式会社Flatt Security RyotaK氏

潜在的に危険な機能の使用について

潜在的に危険な機能の使用とは、アプリケーションにおいて安全性が十分に確認されていない機能や、悪用される可能性のある機能が実装されている状態を指す。主な特徴として以下のような点が挙げられる。

意図しない外部リソースへのアクセスリスク
任意のコード実行の可能性
セキュリティ境界の侵害につながる脆弱性

今回のChatworkデスクトップ版アプリの脆弱性では、アプリ内のリンクを介して外部サイトにアクセスできる機能が存在し、攻撃者によって悪用される可能性がある。Windows OSのSMBクライアント機能のゲストアクセスを無効化することで一時的な対策となるが、根本的な解決には最新版へのアップデートが必要となる。

Chatworkデスクトップ版アプリの脆弱性に関する考察

デスクトップアプリケーションにおける外部リンクの処理は、ユーザビリティとセキュリティのバランスが重要な課題となっている。Chatworkデスクトップ版アプリの脆弱性は、利便性を重視した機能が攻撃者に悪用される可能性を示す典型的な例であり、アプリケーション開発においてセキュリティバイデザインの重要性を再認識させる。

今後は同様の脆弱性を防ぐため、外部リソースへのアクセス制御やサンドボックス環境の実装が必要になるだろう。特にビジネスチャットツールは機密情報を扱う機会が多いため、ユーザーの安全を確保しつつ、使いやすさを維持する設計が求められる。

また、脆弱性の報告から修正までのプロセスが迅速に行われたことは評価できる。セキュリティ研究者との協力体制を維持し、継続的な脆弱性の検出と修正を行うことで、より安全なアプリケーションの提供が可能になるだろう。