【CVE-2024-6818】IrfanView 4.66 64bitのPSPファイル解析に重大な脆弱性、任意コード実行のリスクが発覚

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

IT・テックのコネクトメディア「ゼゼック」
カテゴリ毎のアーカイブ記事一覧
【カテゴリ別】2024年11月のアーカイブ一覧
【2024年11月】セキュリティに関するアーカイブ一覧
【2024年11月30日】セキュリティに関するアーカイブ一覧
【CVE-2024-6818】IrfanView 4.66 64bitのPSPファイル解析に重大な脆弱性、任意コード実行のリスクが発覚

記事の要約

IrfanViewでPSPファイル解析の脆弱性が発見
バッファオーバーフロー攻撃による任意コード実行が可能
PSPファイル解析の適切な検証が不足している状態

IrfanViewのPSPファイル解析における重大な脆弱性

Zero Day Initiativeは2024年11月22日、画像処理ソフトウェアIrfanView 4.66 64bitにおいてPSPファイル解析時の重大な脆弱性【CVE-2024-6818】を公開した。この脆弱性は、PSPファイルのパース処理において、ユーザーが提供したデータの適切な検証が行われていないことに起因しており、割り当てられたバッファの終端を超えた書き込みが可能になっている。^[1]

Zero Day Initiativeによると、この脆弱性はCVSSスコア7.8の高リスクと評価されており、攻撃者が細工を施したファイルを開かせることで任意のコード実行が可能になる。攻撃を成功させるためにはユーザーの操作が必要となるが、悪意のあるページへの訪問や不正なファイルを開くことで攻撃が実行される可能性がある。

また、この脆弱性はOut-of-bounds Writeに分類され、CWE-787として識別されている。攻撃者は現在のプロセスのコンテキスト内でコードを実行できる可能性があり、影響を受けるバージョンのIrfanViewを使用しているユーザーは早急なアップデートが推奨される。

IrfanViewの脆弱性詳細

項目	詳細
CVE番号	CVE-2024-6818
影響を受けるバージョン	IrfanView 4.66 64bit
脆弱性の種類	Out-of-bounds Write
CVSSスコア	7.8（高）
CWE分類	CWE-787
公開日	2024年11月22日

Out-of-bounds Writeについて

Out-of-bounds Writeとは、プログラムが割り当てられたバッファの境界を超えてデータを書き込もうとする際に発生する脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

メモリ破壊による任意のコード実行が可能
システムのクラッシュやデータの破損を引き起こす可能性
入力データの適切な検証が不足している場合に発生

IrfanViewのPSPファイル解析における脆弱性では、ユーザーが提供したデータの検証が不十分なため、バッファオーバーフローが発生する可能性がある。攻撃者は巧妙に細工されたファイルを用意し、被害者にそのファイルを開かせることで、システム上で任意のコードを実行できる状態になる。

IrfanViewの脆弱性対策に関する考察

IrfanViewの脆弱性対策において最も重要な点は、PSPファイル解析時のバッファ境界チェックの実装である。開発者はユーザーが提供するデータに対して厳密な入力検証を行い、バッファサイズを超えるデータの書き込みを防止する必要がある。一方で、この種の脆弱性は他の画像フォーマットの解析処理にも存在する可能性があるため、包括的なセキュリティ監査が求められるだろう。

今後の課題として、画像処理ライブラリ全体のセキュリティ強化が挙げられる。特にメモリ安全性を確保するための実装方法の見直しや、定期的なセキュリティテストの実施が重要になってくる。また、ユーザーに対しても、信頼できないソースからのファイルを開く際の注意喚起や、セキュリティアップデートの重要性について啓発を行っていく必要があるだろう。

将来的には、PSPファイルのパース処理におけるセキュアコーディングガイドラインの策定や、自動化されたセキュリティテストツールの導入が期待される。メモリ安全な言語への移行も検討に値する選択肢だが、既存のコードベースの維持と互換性の確保が課題となる。セキュリティと利便性のバランスを保ちながら、継続的な改善が必要になるだろう。