Windows版「ESET」シリーズにTOCTOU競合状態に起因する脆弱性

同社のセキュリティアドバイザリー

　キヤノンITソリューションズ（株）は7月17日、セキュリティソフト「ESET」シリーズのWindows向けクライアント用プログラムで新たな脆弱性（CVE-2025-2425）が発見されたことを明らかにした。対策済みバージョンへのアップデートが必要だ。

　本脆弱性は、TOCTOU（Time-of-check to time-of-use：検証はパスしたものの実行の前に状態が変わってしまうため、検証が意味をなさなくなる問題）競合状態に起因するもの。NTFSファイルシステムのプロパティを利用することで、インストールされた「ESET」を用いて任意のファイルの内容を消去できてしまう可能性があるという。

　「CVSS 4.0」の基本値は「5.1」（Medium）。以下の製品が対象となっている。今のところ、この脆弱性を悪用する攻撃は確認されていない。

• 個人向け製品
  　►ESET HOME セキュリティ アルティメット
  　►ESET HOME セキュリティ プレミアム
  　►ESET HOME セキュリティ エッセンシャル
  　►ESET インターネット セキュリティ まるごと安心パック
  　►ESET スマート セキュリティ プレミアム（旧製品）
  　►ESET インターネット セキュリティ（旧製品）
• SOHO向け製品
  　►ESET スモール ビジネス セキュリティ
  　►ESET NOD32アンチウイルス

　影響範囲はv17.0/v17.1/v17.2/v18.0/v18.1シリーズで、「ESET」プログラムv18.2.14.0.0以降へのアップデートが必要だ。