【CVE-2024-11563】IrfanView 4.67.0.0でDXFファイル解析の脆弱性が発見、リモートコード実行のリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

IrfanViewにDXFファイル解析の脆弱性
リモートコード実行の危険性が確認
CVSSスコア7.8のハイリスク脆弱性

IrfanView 4.67.0.0のDXFファイル解析における脆弱性

Zero Day Initiativeは2024年11月22日、IrfanView 4.67.0.0にDXFファイル解析の脆弱性【CVE-2024-11563】を発見したと発表した。この脆弱性は、ユーザーが悪意のあるページを訪問するか悪意のあるファイルを開くことで、攻撃者が任意のコードを実行できる可能性があることが判明している。^[1]

この脆弱性はDXFファイルの解析処理における不適切なユーザー入力の検証に起因しており、割り当てられたバッファの終端を超えた読み取りが可能となっている。攻撃者はこの脆弱性を悪用することで、現在のプロセスのコンテキストでコードを実行する可能性が高まることが確認された。

ZDI-CAN-24860として報告されたこの脆弱性は、CWE-125（Out-of-bounds Read）に分類され、CVSSv3.0で7.8のハイリスクスコアが付与されている。攻撃の成功には特権は不要だが、ユーザーの操作が必要とされており、影響範囲は限定的であることが示されている。

IrfanView 4.67.0.0の脆弱性詳細

項目	詳細
CVE番号	CVE-2024-11563
影響を受けるバージョン	IrfanView 4.67.0.0
脆弱性の種類	Out-of-bounds Read（CWE-125）
CVSSスコア	7.8（High）
攻撃条件	ユーザーの操作が必要
公開日	2024年11月22日

Out-of-bounds Readについて

Out-of-bounds Readとは、プログラムが割り当てられたメモリ領域の範囲外からデータを読み取ろうとする脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

メモリバッファの境界を超えてデータを読み取る
機密情報の漏洩やシステムクラッシュの原因となる
攻撃者による任意のコード実行につながる可能性がある

IrfanViewの脆弱性の場合、DXFファイルの解析処理においてユーザー入力の検証が適切に行われていないことが原因となっている。攻撃者は特別に細工したDXFファイルを用意することで、バッファの終端を超えた読み取りを引き起こし、システムに対して悪意のあるコードを実行する可能性が指摘されている。

IrfanViewの脆弱性に関する考察

IrfanViewの脆弱性は、画像ビューアソフトウェアにおけるセキュリティ上の課題を浮き彫りにしている。DXFファイルの解析処理における不適切な入力検証は、一般的な画像ファイルだけでなく、CADデータなど特殊なファイル形式の処理においても厳密な境界チェックが必要であることを示している。開発者はバッファオーバーフローやメモリ破壊を防ぐため、より厳密な入力検証とメモリ管理を実装する必要があるだろう。

今後は、Out-of-bounds Read脆弱性に対する防御機能の強化が求められる。特にファイル解析エンジンの部分では、バッファサイズの適切な管理やメモリ保護機能の実装が重要となるだろう。また、サードパーティ製のライブラリやコンポーネントを使用する際には、それらのセキュリティ品質も慎重に評価する必要がある。

ユーザー側の対策としては、信頼できるソースからのファイルのみを開く習慣づけが重要となる。特にDXFファイルのような特殊なファイル形式を扱う際は、より慎重な対応が求められるため、セキュリティ意識の向上と適切な運用ガイドラインの整備が望まれる。