出典: Security NEXT – https://www.security-next.com/181731
キヤノン複合機向けスキャンソフトに重大な脆弱性が判明
キヤノンのスキャンソフト「IJ Scan Utility」に複数の脆弱性が発見され、同社は修正済みのアップデートを公開しました。対象となる複合機は40モデル以上に及び、ユーザーには速やかなアップデート適用が呼びかけられています。
主要なポイント
- 脆弱性の内容：Windows版「IJ Scan Utility」バージョン1.1.2から1.5.0において、検索パスの処理に問題があり、悪意あるファイルを読み込むことで「SYSTEM」権限で任意のコードが実行される恐れがあります。
- 影響範囲：PIXUS MGシリーズをはじめとする40以上の複合機・プリンタモデルが対象で、幅広いユーザーに影響を及ぼします。
- 脆弱性評価：共通脆弱性評価システムCVSSv4.0ではベーススコア8.4と高く、深刻度の高い問題とされています。
- 対応状況：キヤノンはJPCERTコーディネーションセンターに報告し、問題を修正したバージョン1.6.0以降の「MP Driver」を公開。ユーザーには速やかなアップデートが推奨されています。
技術的な詳細や背景情報
今回の脆弱性は「検索パスの処理」に起因します。検索パスとは、ソフトウェアが必要なファイルを探す際のディレクトリの順序や場所を指します。この処理に不備があると、攻撃者が悪意あるファイルを特定の場所に配置し、ソフトウェアがそれを読み込んでしまう可能性があります。結果として、攻撃者は「SYSTEM」権限、つまりWindowsの最も強力な権限で任意のコードを実行できるため、システム全体の制御を奪われるリスクがあります。
この種の脆弱性は「DLLハイジャック」や「パス・トラバーサル攻撃」などに類似し、特にWindows環境で多く見られる問題です。CVSS（Common Vulnerability Scoring System）で8.4というスコアは、攻撃の難易度が低く、影響が大きいことを示しています。
影響や重要性
キヤノンの複合機は多くの企業や個人で利用されており、スキャン機能は業務効率化に欠かせないものです。今回の脆弱性を放置すると、攻撃者がネットワーク内の複合機を足がかりに社内システムへ侵入し、情報漏洩やシステム破壊を引き起こす恐れがあります。
また、複合機は通常のPCとは異なり、セキュリティ対策が後回しにされがちなため、こうした脆弱性は特に注意が必要です。迅速なアップデート適用と、複合機のネットワークセグメントの分離などの対策が推奨されます。
まとめ
キヤノンの「IJ Scan Utility」に存在した脆弱性は、悪用されると深刻な被害をもたらす可能性があります。対象となる複合機ユーザーは、キヤノンが公開した最新のアップデート（バージョン1.6.0以降）を速やかに適用し、セキュリティリスクを軽減することが重要です。今後も複合機を含むIoT機器のセキュリティに注意を払い、定期的なアップデートと監視を心がけましょう。
