FFFTP

Fork

FFFTP 1.98a以前に意図しない実行ファイルを実行してしまう脆弱性が確認されています（JVN#62336482）。FFFTP 1.98bではこの脆弱性を修正していますので、FFFTP 1.98a以前を利用しているユーザーは1.98b以降へのアップグレードを推奨いたします。

【概要】

FFFTP 1.98a以前に、意図しない実行ファイルを実行してしまう脆弱性が存在します。

【脆弱性を含むバージョン】

FFFTP 1.98a以前

【詳細情報】

FFFTPには、ユーザーからの操作によりローカルのディスク上にある指定したファイルをnotepad.exe（メモ帳）で開く機能があります。このとき、notepad.exeを実行する際の検索パスに問題があり、意図しない実行ファイルを実行してしまう脆弱性が存在します。

具体的には、指定したファイルと同じフォルダに「notepad.exe」というファイルが存在した場合、Windows標準のnotepad.exeではなく、指定したファイルと同じフォルダ内にある「notepad.exe」を実行してしまいます。

【想定される影響】

特定の環境下でプログラムを実行している権限で任意のコードを実行される可能性があります。

具体的には、悪意のあるユーザーにより、ユーザーに実行させたいコードを含む「notepad.exe」ファイルと任意のテキストファイルをダウンロードさせ、テキストファイルを「notepadで開く」機能で開かせることにより、悪意のあるコードを実行させることができます。

【対策方法】

この脆弱性が修正されているFFFTP 1.98b以降へのアップデートを推奨いたします。1.98b以降へのアップデートが不可能でやむを得ず1.98a以下を利用する場合、「notepadで開く」機能は利用しないようにしてください。

【この情報についての詳細】

この情報についての詳細は「FFFTPに関するセキュリティ/脆弱性関連情報」 （http://sourceforge.jp/projects/ffftp/wiki/Security）にて公開しています。