製品に関するお知らせ

2024年 3月 01日

顕微鏡ソフトウェアに関する脆弱性のお知らせ

当社製品をご愛用のお客様へ

平素より当社製品について格別のご愛顧を賜り、厚く御礼申し上げます。
当社の一部ソフトウェアが利用しているサードパーティ製のソフトウェアコンポーネントに脆弱性が発見されました。インターネットに接続している状態で対象のソフトウェアを利用されている場合、脆弱性のリスクがございます。対象となるソフトウェアは以下の通りです。ご迷惑をおかけいたしますが、脆弱性リスク解消のため、Service Updateの適用を強く推奨いたします。

＜対象となるソフトウェア、製品＞

cellSens
Entry, Standard, Dimension, Dimension Desktop, APEX Version 3.2以降 (launched 2021)
VS120
VS-ASW, VS-Desktop, DB Admin, NIS / SQL Version 2.9.2以降 (launched 2019)
VS200
VS200-ASW, VS200-Desktop, DB Admin, NIS / SQL Version 3.1以降 (launched 2019)
OLYMPUS Stream
Current: Stream Enterprise, Stream Enterprise Desktop, SFR
Legacy: Stream Start, Stream Basic, Stream Essentials, Stream Motion, Stream Desktop)
Version 2.4以降 (launched 2019)
CIX
CIX-ASW, CIX-SZX Version 1.4以降 (launched 2019)
PRECiV
Capture, Core, Pro, Desktop, DSX Version 1.1以降 (launched 2022)
DP2-AOU Version 1.1以降 (launched 2020)

＜該当する脆弱性＞

当社調査の結果、当社製品に該当する脆弱性は以下の通りです。

CVE-2023-3935：CodeMeter ランタイムのバッファオーバーフロー
CVE-2023-38545：SOCKS5プロキシハンドシェイクにおけるヒープベースのバッファでのカールオーバーフロー

脆弱性についての詳細は以下をご覧ください。

Product Security Advisory WIBU-230704-01-v3.0（英語）
https://cdn.wibu.com/fileadmin/wibu_downloads/security_advisories/AdvisoryWIBU-230704-01-v3.0.pdf

Product Security Advisory WIBU-231017-01（英語）
https://cdn.wibu.com/fileadmin/wibu_downloads/security_advisories/AdvisoryWIBU-231017-01.pdf

NIST^(※1) NVD^(※2)（英語）
https://nvd.nist.gov/vuln/detail/CVE-2023-3935
https://nvd.nist.gov/vuln/detail/CVE-2023-38545

(※1) NIST：National Institute of Standards and Technology　米国国立標準技術研究所
(※2) NVD：National Vulnerability Database　米国脆弱性データベース

＜想定される影響＞

以下の脆弱性の影響が想定されます。

CVE-2023-3935：
システムが設置している施設内でログイン認証した攻撃者が管理者権限を取得する事でデータを搾取、改ざんされる可能性があります。
また、お客様の環境でライセンスサーバーを導入されている場合、攻撃者がライセンスサーバーに不正ログインしてプログラムを実行する事でデータを搾取、改ざんされる可能性があります。

CVE-2023-38545：
当該ソフトウェアはSOCKS5 プロキシ経由でトラフィックをリダイレクトするようにcurlが設定されている場合、バッファオーバーフロー攻撃に対して脆弱なバージョンの libcurl を内部的に使用しております。そのため、悪意のあるプロキシを経由して通信した場合、実装されたハンドシェイクのバグを悪用してバッファオーバーフローを引き起こす可能性があります。

これらの脆弱性はService Updateを適用する事によりリスクが解消されます。

＜対処方法＞

Service Update（CodeMeter Version 7.60d）を適用します。
自動アップデート機能を有効にしている場合は、Service Updateを適用する旨、通知がなされます。

（DP2-AOUご利用のお客様へ）
事前に取扱説明書の「専用デバイスドライバーのインストール」をご参照の上、Service Updateを適用できる準備を行ってください。また、DP2-AVS(アンチウイルスソフトライセンス)を有効にしている場合は、取扱説明書の「インストール / アップデートプログラム起動の準備」も併せてご参照ください。