『power2go8脆弱性』のクチコミ掲示板

[hiuoo]

ネット上で脆弱性があると書き込みがあるのですが、どうなのでしょう？　バッファローに聞いてみたけれど答えてくれなくて困っています。もしそうなら、わかっていて売っているとしたら悲しいことです。

書込番号：26200462

[ニコイクス]

メーカーの商品ページにも載ってますが
添付のCyberLink社製ソフトウェアにつきましては、CyberLink社までお問合せください。
なのでバッファローが作ってないソフトウェアの脆弱性について答えられるわけがない

https://www.buffalo.jp/product/detail/brxl-pt6u3-bke.html

書込番号：26200471　スマートフォンサイトからの書き込み

[KAZU0002]

>CD/DVDライティングソフト「Power2Go 8」に未修正のゼロデイ脆弱性
https://forest.watch.impress.co.jp/docs/news/497959.html
14年前の記事ですなww

まぁ。プロジェクトファイルを読み込むプロセスに脆弱性があって、任意のコードを実行するように仕込めることができる…という内容ですが。
他人が作ったプロジェクトファイルを読み込む予定がありますか？
または、あなたのPCに対してそういうことをする人が周囲にいますか？
またまたは、そのような仕掛けをする価値があなたのPCにありますか？
またまたまたは、14年前のソフトの現在のバージョンにその脆弱性が残っていると思いますか？

心配でしょうが無い。だけど調べない。調べても理解出来ない。それでも心配だけは心配だ。だったらもう、PCは使わないしか対処の方法はありません。脆弱性の無いソフトなんて、多分ないのですから。

昔書いた説明ですが。
>ちなみに、ドアに例えると。
>　バグ：製造ミスで、ドアの鍵が、別の鍵でも開いてしまう。
>　脆弱性：ドアの鍵部分は仕様通りに丈夫に作ったけど、蝶番のところが壊れやすい。
>　バックドア：家主に内緒で別のドアを予め作っておく。
>ミスと想定外と意図的、この辺の区別をして記事は読みましょう。

書込番号：26200505

[hiuoo]

お二人の意見参考になりました。また、びっくりもしました。売ってはいるけど「バッファローが作ってないソフトウェアの脆弱性について答えられるわけがない」のですね。＞ニコイクスさん、ありがとうございます。
また、＞＞KAZU0002さん、窓の杜の記事へのリンクありがとうございます。このブルーレイドライブの付属のソフトは「Power2Go 8」で最新版ではありません。１４年も前のものなのですね。知識のない私が扱えるものではないことがわかりました。ありがとうございます。

書込番号：26201331

[hiuoo]

14年も前のものを脆弱性がありつつ売ってる企業って。もう一つバッファローの関係の方が口コミするときは、バッファローの関係者だと書いてくれるとわかりやすいです。

書込番号：26202020

[ニコイクス]

JVNDB-2012-004207
CyberLink PowerDirector における権限を取得される脆弱性
https://jvndb.jvn.jp/ja/contents/2012/JVNDB-2012-004207.html

JVNDB-2022-010331
サイバーリンク株式会社の PowerDirector における権限管理に関する脆弱性
https://jvndb.jvn.jp/ja/contents/2022/JVNDB-2022-010331.html

CyberLink製アプリのインストーラを改ざんする攻撃。北朝鮮のグループが関与か
https://pc.watch.impress.co.jp/docs/news/1550025.html

MicrosoftがCyberLink製アプリを改変、悪用する新たなサプライチェーン攻撃を発見
https://atmarkit.itmedia.co.jp/ait/spv/2311/30/news072.html

CyberLink製品を悪用したサプライチェーン攻撃、MSが報告--北朝鮮のグループか
https://japan.zdnet.com/article/35211900/

PowerDVDにデータ操作の脆弱性：PoC公開、ユーザは対策を
https://japan.zdnet.com/article/20357859/

書込番号：26202056　スマートフォンサイトからの書き込み

[ニコイクス]

検索すればいくらでも脆弱性情報なんていくらでも出るしバグや脆弱性がないソフトウェアはこの世にはないでしょう
Microsoftなんて毎月セキュリティアップデートしなきゃいけないほどなんだし

書込番号：26202058　スマートフォンサイトからの書き込み

[hiuoo]

＞ニコイクスさん
そうですね。だからこそアップデートがあるか、CyberLink社にも確認をしています。14年間ほっておくなんてことがあったらおかしいということを書いています。

書込番号：26202089

[hiuoo]

ウィキペディアより
「2011年12月12日、JPCERT/CCとIPAは、Power2Go 8およびそれ以前にはバッファオーバーフローの脆弱性が存在することを公表した[18]。また、本脆弱性を使用した攻撃コードがすでに公開されていると注意喚起を行った。

サイバーリンクからは本件に対する修正パッチ等が配布されていないため、当該製品を使わないようにすること以外に根本的な対策方法は存在しない。」
私は知識がないのでわからないのですが、また、ウィキペディアにのっているものが正しいのかも判断できないのですが、この通りだとすると、ソフトの会社もどうかと思いますが、今のバージョンはこの脆弱性をなくして改良してあるのだと思います。けれど、１４年も前にわかっていることを知ってか知らずかわかりませんが、売り続けていることに疑問を持っています。脆弱性があって当たり前でなく、知識なある方は対策方法を教えてください。

書込番号：26202118

[hiuoo]

付け足しです。対策で、バージョンアップはできないでお願いします。裕福なわけではないので。また、専門知識があるわけでもないので、難しいことは無理です。もともと価格comのページに書いてあるように「買ってよかったをすべての人に」（すばらしい）の理念にそって、あまり詳しくない私のようなものにできる方法でお願いします。バッファローの方も見ていると思うのですが、本来はバッファローの方に対策を打っていただけるのが一番いいのですが。

書込番号：26202236

[hiuoo]

＞ニコイクスさん
お礼が遅れました。CyberLinkの脆弱性の情報ありがとうございました。バッファローにぜひ伝えてください。

書込番号：26202370

[hiuoo]

サイバーリンクさんから返信が来ました。製品版の Power2Go での脆弱性であり、OEM/バンドル版では、発生しないとのことです。安心しました。ただしサポートは終了しているとのことです。いろいろな方にアドバイスをいただきありがとうございました。

書込番号：26207141