【CVE-2024-11547】IrfanView 4.67.0.0にDWGファイル解析の脆弱性、任意のコード実行のリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

IrfanViewのDWGファイル解析に脆弱性が発見
ユーザー操作で任意のコード実行が可能に
CVSSスコア7.8の深刻な脆弱性として評価

IrfanView 4.67.0.0のDWGファイル解析における脆弱性

Zero Day Initiativeは2024年11月22日、IrfanViewのDWGファイル解析機能に任意のコード実行を可能にする脆弱性を発見したことを公開した。この脆弱性は【CVE-2024-11547】として識別されており、ユーザーが悪意のあるページを訪問したり悪意のあるファイルを開いたりすることで攻撃者による悪用が可能となっている。^[1]

この脆弱性はユーザーが提供するデータの適切な検証が行われていないことに起因しており、メモリ破損の状態を引き起こす可能性がある。脆弱性の深刻度を示すCVSSスコアは7.8と高く評価されており、攻撃者は現在のプロセスのコンテキスト内でコードを実行できる可能性が指摘されている。

本脆弱性はZDI-CAN-24732として報告され、影響を受けるバージョンはIrfanView 4.67.0.0であることが確認されている。CWE-119（メモリバッファの境界内での操作の不適切な制限）に分類されるこの脆弱性は、ローカルでの攻撃が可能であり特権は不要だが、ユーザーの操作が必要となる。

IrfanView 4.67.0.0の脆弱性詳細

項目	詳細
CVE番号	CVE-2024-11547
影響を受けるバージョン	IrfanView 4.67.0.0
脆弱性の種類	DWGファイル解析時のメモリ破損
CVSSスコア	7.8（高）
攻撃条件	ユーザーの操作が必要
CWE分類	CWE-119

メモリ破損について

メモリ破損とは、プログラムが意図しない方法でメモリの内容を変更または破壊してしまう状態のことを指す。主な特徴として、以下のような点が挙げられる。

プログラムの実行中に予期せぬデータの上書きが発生
システムのクラッシュや異常動作の原因となる
攻撃者による任意のコード実行の足がかりとなる可能性

IrfanViewの脆弱性ではDWGファイルの解析時にメモリ破損が発生し、攻撃者による任意のコード実行のリスクが存在する。この種の脆弱性は適切な入力検証とメモリ管理によって防ぐことが可能だが、現在のバージョンではこれらの対策が不十分であることが指摘されている。

IrfanViewの脆弱性に関する考察

IrfanViewの脆弱性は画像ビューアソフトウェアの安全性に関する重要な問題を提起している。DWGファイルの処理におけるメモリ管理の不備は、一般的なユーザー操作によって悪用される可能性があり、特に企業環境での使用において大きなリスクとなっている。今後はファイル形式の処理における入力検証の強化が必要になるだろう。

IrfanViewの開発者には早急なセキュリティアップデートの提供が求められている。画像ビューアソフトウェアは日常的に使用されるツールであり、セキュリティ対策の遅れは広範な影響を及ぼす可能性があるため、継続的なセキュリティ監査と脆弱性対策の実施が重要となっている。

今後の対策として、サンドボックス環境での実行やファイル形式ごとの処理の分離など、より堅牢なセキュリティアーキテクチャの採用が期待される。特に企業利用においては、信頼できるソースからのファイルのみを開くポリシーの徹底や、定期的なセキュリティ教育の実施が不可欠だ。