セキュリティ

SECURITY

公開：2024-11-06

【CVE-2024-9489】AutoCAD 2025.1でメモリ破損の脆弱性を発見、任意コード実行のリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• AutoCAD DWGファイルの解析時にメモリ破損の脆弱性を確認
• 悪意のあるDWGファイルでクラッシュや任意コード実行の可能性
• CVSS3.1スコア7.8のHIGHレベルの深刻度を評価

AutoCAD 2025.1のメモリ破損の脆弱性

Autodeskは2024年10月29日、AutoCAD 2025.1にメモリ破損の脆弱性【CVE-2024-9489】を発見したことを公開した。悪意のあるDWGファイルをACAD.exeで解析した際にメモリ破損の脆弱性が発生し、攻撃者がこの脆弱性を悪用することでシステムをクラッシュさせたり、機密データを書き込んだり、現在のプロセスのコンテキストで任意のコードを実行したりする可能性があるのだ。^[1]

この脆弱性はCVSS v3.1で評価され、基本スコアは7.8でHIGHレベルの深刻度となっている。攻撃に必要な特権レベルは不要だが、ユーザーの関与が必要となる特徴があり、攻撃元区分はローカルで攻撃条件の複雑さは低いと判断されている。

脆弱性の種類はCWE-119に分類され、メモリバッファの境界内での操作の不適切な制限に関連している。影響範囲は機密性、完全性、可用性のすべてにおいて高いレベルとされており、早急な対応が求められるだろう。

AutoCAD 2025.1の脆弱性詳細

脆弱性の詳細はこちら

メモリ破損について

メモリ破損とは、プログラムが意図しない方法でメモリにアクセスしたり、メモリの内容を変更したりすることで、システムの安全性や安定性を脅かす問題のことを指す。主な特徴として以下のような点が挙げられる。

• バッファオーバーフローやメモリリークの原因となる
• システムクラッシュや情報漏洩のリスクが存在する
• 任意のコード実行の脆弱性につながる可能性がある

AutoCADの脆弱性では、悪意のあるDWGファイルを介してメモリ破損を引き起こすことが可能となっている。攻撃者はこの脆弱性を悪用することで、システムクラッシュを引き起こしたり、機密情報を書き込んだり、任意のコードを実行したりする可能性があるため、早急なパッチ適用が推奨される。

AutoCAD 2025.1のメモリ破損の脆弱性に関する考察

AutoCADのような広く使用されているCADソフトウェアでメモリ破損の脆弱性が発見されたことは、製造業やエンジニアリング分野に大きな影響を与える可能性がある。DWGファイルは業界標準のフォーマットとして広く普及しており、この脆弱性を悪用した標的型攻撃が発生した場合、企業の機密情報や知的財産が危険にさらされる可能性が高いだろう。

今後はDWGファイルのパース処理におけるセキュリティ強化が重要な課題となるだろう。特にファイル形式の仕様を見直し、メモリ安全性を確保するための追加的な検証メカニズムの実装が必要となる可能性が高い。また、ユーザー側でもDWGファイルの受け渡し時の検証プロセスを確立することが重要である。

将来的にはAIを活用した異常検知システムの導入や、サンドボックス環境でのファイル解析機能の実装が期待される。AutoCADの開発元であるAutodeskには、セキュリティ機能の強化とともに、脆弱性が発見された際の迅速な対応と適切な情報開示を継続してほしい。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-9489, (参照 24-11-06).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧