HP 製 PC にプリインストールされるサポートツール「HP Support Assistant」で DLL ハイジャックの脆弱性 CVE-2022-38395 が見つかり、HP が最新版への更新を呼びかけている (HP カスタマーサポートの記事、 Neowin の記事、 BetaNews の記事、 Ghacks の記事)。

DLL ハイジャックの脆弱性は HP Support Assistant が Fusion を用い、診断ツールとして HP Performance Tune-up を起動する仕組みに存在する。攻撃者はこの脆弱性を悪用することで、特権昇格が可能になるとのこと。脆弱性の影響を受けるのは HP Support Assistant バージョン 9.11 よりも前のバージョン、および Fusion バージョン 1.38.2601.0 よりも前のバージョンとなる。

現行の HP Support Assistant はバージョン 9.19.52.0 であり、かなり前に修正されていたようだ。Internet Archive のスナップショットによれば、昨年 12 月はバージョン 9.10.85.0、今年 1 月にはバージョン 9.12.43.0 となっている。

すべて読む | セキュリティセクション | セキュリティ | HP | バグ |

関連ストーリー：
解凍・圧縮ソフト「7-Zip」に未修正の脆弱性 2022年04月19日
Linuxカーネルに特権昇格の脆弱性「Dirty Pipe」が報告される 2022年03月11日
Polkit に 12 年前の最初のバージョンから存在した脆弱性「Pwnkit」 2022年01月30日
HP / Samsung / Xerox のプリンタードライバーに 16 年前から存在した脆弱性 2021年07月25日
Dell SupportAssistでまた脆弱性が見つかる 2019年06月23日
Windowsのゼロデイ脆弱性が再びTwitterで公表される 2018年10月28日
Skypeのアップデート機能にDLLハイジャッキング脆弱性が見つかる 2018年02月17日
HP製ノートPCにプリインストールされているドライバの1つにキーロガー的機能が見つかる 2017年12月12日
AcerやASUS、Dell、HP、LenovoのPCにプリインストールされているソフトウェアに脆弱性が見つかる 2016年06月09日
Dellや東芝、LenovoのPCなどにプリインストールされている管理ソフトに脆弱性が見つかる 2015年12月16日
WindowsにおけるDLLハイジャック脆弱性、多くのメジャーなソフトウェアにも 2010年08月27日