キングソフト製「WPS Office」「KINGSOFT Internet Security」に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月16日、キングソフト製「WPS Office」および「KINGSOFT Internet Security」における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。Satoshi Tanda 氏、合同会社セキュリティ・プロフェッショナルズ・ネットワーク の吉田英二（Eiji James Yoshida）氏、長谷川智久氏が報告を行っている。影響を受けるシステムは以下の通り。

・CVE-2022-25949
KINGSOFT Internet Security 9 Plus (バージョン 2010.06.23.247 に対して届出が行われています)

・CVE-2022-26081、CVE-2022-25969
WPS Office のインストーラ (バージョン 10.8.0.5745 およびバージョン 10.8.0.6186 に対して届出が行われています)

・CVE-2022-26511
WPS Presentation (バージョン 11.8.0.5745 に対して届出が行われています)

　キングソフト株式会社が提供する「WPS Office」および「KINGSOFT Internet Security」には、次の複数の脆弱性が存在し、想定される影響は各脆弱性により異なるが、次のような影響を受ける可能性がある。

・スタックベースのバッファオーバーフロー（CVE-2022-25949）
→当該製品がインストールされたシステムにログイン可能なユーザによって管理者権限を取得され、カーネルモードで任意のコードを実行される

・意図しない DLL を読み込んでしまう脆弱性（CVE-2022-26081、CVE-2022-25969、CVE-2022-26511）
（ユーザのシステムを攻撃する目的で作成された DLL ファイルを、攻撃者の意図する場所にユーザが自ら配置することを想定している。）
CVE-2022-26081、CVE-25969：インストーラを実行している権限で、任意のコードを実行される
CVE-2022-26511：プログラムを実行している権限で任意のコードを実行される

　キングソフトでは、当該製品のサポートを終了しており、修正アップデートは提供しない。後継製品への移行を推奨している。