フリーウエアの画像管理ソフトViXの脆弱性について

質問

長年愛用していたViXに「脆弱性があり特定のVerの使用中止を検討
して下さい」という情報（2018/3/13）を見つけました。下記
https://jvn.jp/jp/JVN56764650/
これは具体的にどの様にしたときにどのように危険なのかを説明
して頂きたいのですが、わかる方教えて下さい。

回答No.5

asciiz · ベストアンサー

＞でも他の画像管理ソフトでも同様の脆弱性がありそうな
＞気もしますが対処出来てるんでしょうか？

プラグインなどの実行ファイルは通常、アプリがインストールされた場所かその近く、あるいは環境変数PATHに記載された「実行ファイル類が納められたフォルダ」に置く物です。
それなのに、ただ画像ファイルがあるだけのデータフォルダ内を参照してしまって、そこから実行ファイル(DLL)を読み込んでしまうと言うのは、他のアプリでは通常起こりえない、ViX固有の問題です。

ここまで原因が分かっていれば修正は容易なはずですが…。
2018年に報告があってから現在まで修正されていないので、今後も期待できないでしょう。
ずっと爆弾を抱えたまま、使い続けることになります。
まあ爆弾としては昔からあったことになりますが、このように公開されたことで、今後ViXを狙い撃ちするマルウェアが出てこないとも限りません。

第三者としては、ViXの使用はやめた方が良いですよ、としか言えませんね…。

お礼

なるほど。分かりました。
あと、開発者のOKADAさんももう修正する気持ちはないのかも。

回答No.4

asciiz

＞使い方として自分でデジカメで撮影した画像を整理、保存
＞するだけの使い方ならなんの問題もないですよね。
＞あと、ネットで表示された画面の
＞スクリーンコピーでも変なDLLファイルは入りませんよね。

まあそうですね、スクリーンショットも自分で作った画像ナノで大丈夫かとは思います。

＞ネットで拾った画像や他の人からもらった画像でなければ
＞危険性はないですよね。

それらには本当に注意ですね…。
USBメモリでもらった画像フォルダに、こっそりまぎれたりしているかもしれません。
一度でもそういったものを開けば、翌日パソコンが使えなくなったりすることが考えられます(ランサムウェア)。
新しいソフトを試してみて、どうしても我慢できない動作とか見つからないので限り、乗り換えることをお勧めします…。

お礼

もう１０年以上（Verは初期から）使っており自分が
つくった画像のみの使用ですのでこのまま使い続ける
ことにします。
でも他の画像管理ソフトでも同様の脆弱性がありそうな
気もしますが対処出来てるんでしょうか？

回答No.3

AsarKingChang

>自分で撮影した画像だけを整理、保存するだけなら全く問題はないと思いますが、違いますか？

そうとは言えます。！！
ネットからダウンロードしてると、例えば
abcd.jpg.exeみたいに、JPEGに見せかけた実行ファイルみたいな
フェイクをしてる悪質なファイルもあるのですが、
それらが入り込むことがない確信があるなら、
確かに無視してもOKと言ってもよいですね。

お礼

色々、なにが安全でなにが危険なのかがわかりました。
ありがとうございました。
でも、フリーソフトなので他の同種の有料ソフトメーカー
のヤッカミなのかなとも勘繰ってしまいそう。

回答No.2

asciiz

ViX は各種画像フォーマット用の「プラグイン」に対応しており、ViX本体で対応していない画像フォーマットであっても、プラグインDLLを用意しておけば表示することができます。

そのプラグイン(DLL)は、本来はViXプログラム本体と同じフォルダにコピーして使うのですが、その脆弱性は、表示しようとする画像ファイルと同じフォルダにあっても参照してしまうとのこと。

そうすると例えば、複数の画像ファイルがzipでまとめられている中に、こっそりウイルス入りDLLファイルを仕込む、ということが考えられます。
プラグインファイルを、プログラムフォルダからのみ検索していれば、そのようなウイルス入りDLLファイルは読み込まなかったのですが。
その脆弱性により、画像と同時に配布されたDLLを読み込んでしまうことで、悪意のある動作(HDD暗号化ランサムウェア、詐欺広告マルウェア、ウイルス再配布等…)をしてしまうことが考えられます。

そうなると、ViXを使う上では、画像ファイルを表示しようとする前に、フォルダ内をくまなく見て、DLLファイルが存在しないことを確認してから画像ファイルを表示する、なんて面倒なことをしなくてはならなくなります。

そんなことやってられないので、まあ、ViXの使用は中止したほうがよいでしょう。
移行先として次のようなツールの紹介があります。

＞画像ビューア ViX の代替には Linar がおすすめ | 経験値ノート
＞https://expnote.com/how-to-use-image-viewer-linar/

お礼

回答、ありがとうございます。
使い方として自分でデジカメで撮影した画像を整理、保存
するだけの使い方ならなんの問題もないですよね。
ネットで拾った画像や他の人からもらった画像でなければ
危険性はないですよね。あと、ネットで表示された画面の
スクリーンコピーでも変なDLLファイルは入りませんよね。

回答No.1

AsarKingChang

大抵は、この手の脆弱性は、悪用されることを考慮して
公開しないのですが、これ公開してますね＾＾

>これは具体的にどの様にしたときに
詳細情報
Ｋ＿ＯＫＡＤＡ が提供する ViX は Windows 用グラフィックビューアソフトウエアです。ViX には、DLL を読み込む際の検索パスに問題があり、画像ファイルと同じディレクトリに存在している特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。

>どのように危険なのかを説明
想定される影響
プログラムを実行している権限で、任意のコードを実行される可能性があります。

だそうで、質問の答えそのものが、そのページに書かれてましたよ。

用は、無関係なDLLを実行できるバグなどがあって、
任意のコードを実行できてしまうから、危ないよ！
って事を言ってます。

お礼

回答ありがとうございます。
”画像ファイルと同じディレクトリに存在している特定の DLL ”が含まれる状況とは怪しい画像ファイルとかディレクトリごとコピーしてくるとかしなければ危険性はないですよね。自分で撮影した画像だけを整理、保存するだけなら全く問題はないと思いますが、違いますか？