概要
Sheikh Rishad 氏により、任意のファイルを削除する脆弱性 (ひいてはローカル特権を昇格される脆弱性) の報告が ESET に提出されました。この脆弱性により、攻撃者は Windows 上で ESET セキュリティ製品のインストールファイルを悪用し、任意のファイルを権限なしで削除できる可能性があります。
脆弱性の詳細
インストール先のディレクトリを事前に作成し、特定のリダイレクトを設定した後、ESET セキュリティ製品のインストーラの脆弱性を利用することで、ターゲットシステム上で低特権のコードを実行する能力を持つ攻撃者が任意のファイルを削除し、特権を昇格させることが可能でした。
ESETは、この可能性のある攻撃経路を修正し、この脆弱性の影響を受けなくなった製品の新しいビルドを用意しました（以下の解決策を参照）。
なお、本脆弱性は、インストールされたセキュリティ製品自体ではなく、インストールファイルに存在するため、ESETセキュリティ製品がインストールされ、システム上で実行された後は、本脆弱性に起因するリスクは発生しません。
この脆弱性に予約されているCVE IDはCVE-2025-5028で、CVSS v4.0スコアは6.8、CVSS v4.0ベクターは以下の通りです：AV:L/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
私たちの知る限り、この脆弱性を悪用するエクスプロイトは存在しません。
対策
ESETは、セキュリティ製品の修正済みインストールファイルを用意し、www.eset.comのダウンロードセクションまたはESETリポジトリからも入手できるようにしました。
- ESET NOD32 アンチウイルス、ESET Internet Security、ESET Smart Security Premium、ESET Security Ultimate 18.2.14.0 以降
- ESET Endpoint Antivirus for Windows および ESET Endpoint Security for Windows 12.0.2058.0、11.1.2062.0 以降の各バージョンファミリー。
- ESET Small Business SecurityおよびESET Safe Server 18.2.14.0以降
ESETは、ESET PROTECTおよびESET PROTECT On-Premにも修正したESETパッケージインストーラを公開したため、7月2日以降にこれらのコンソールで新たに生成されたLive InstallerおよびAll-in-oneインストーラパッケージは、それぞれ本脆弱性の影響を受けなくなりました。
不測の事態により、ESETは2025年8月13日、ESET Package Installerの修正バージョンを一時的に元に戻し、以前のバージョンと置き換える必要があったため、CVE-2025-5028が再導入された。12月16日にESET PROTECTに、12月3日にESET PROTECT On-premにそれぞれ修正版が公開され、本脆弱性が再び緩和されました。
影響を受ける製品とバージョン
- ESET NOD32 アンチウイルス、ESET Internet Security、ESET Smart Security Premium、ESET Security Ultimate 18.1.13.0 およびそれ以前
- ESET Endpoint Antivirus for Windows および ESET Endpoint Security for Windows 12.0.2049.0、11.1.2059.0 およびそれ以前の各バージョンファミリー（.exe インストーラのみ。）
- ESET Small Business Security および ESET Safe Server 18.1.13.0 以前
- ESET PROTECTおよびESET PROTECT On-premコンソールでそれぞれ7月2日および7月3日以前に生成されたライブインストーラおよびオールインワンインストーラパッケージ
フィードバックとサポート
この問題に関するフィードバックやご質問は、 ESET Security Forumまたはlocal ESET Technical Support をご利用ください。
謝辞
ESET は、セキュリティ業界における協調的な情報公開の原則を重視しており、Sheikh Rishad 氏に感謝の意を表したい。
バージョンログ
- バージョン1.2（2025年12月19日）：ESETパッケージインストーラの修正版復活に伴う情報更新
- バージョン 1.1 (2025年8月13日)：ESET Package Installerのリバートに関する情報を追加しました。
- バージョン1.0（2025年7月9日）：このドキュメントの初期バージョン
