国土交通省が港湾や空港などの工事・業務の受注者向けに配布している「電子納品物検査支援システム」に、インストール時にファイルのアクセス権が適切に設定されない脆弱性（セキュリティー上の欠陥）があることが分かった。脆弱性対策情報ポータル「JVN」が10月26日に公表した。対象はVer.4.0.36以前で、アプリケーションのフォルダ内のファイルを書き換えられ、任意のコードを実行されるおそれがある。JVNは最新版への更新を対策として示している。

インストール時の権限設定に不備

JVN#75668103として公表された内容によると、この脆弱性はソフトをパソコンに入れる際、アプリケーションのフォルダ内のファイルに不適切なアクセス権が設定されるというものだ。分類は「インストール時の不適切なファイルアクセス権設定（CWE-276）」とされた。CWEは米非営利団体MITREが管理する弱点の分類で、CWE-276は「インストールの際、誰でも書き換えられる権限でファイルが置かれる」状態を指す。

想定される影響について、JVNは「アプリケーションフォルダ内のファイルが改ざんされ、結果として任意のコードが実行される可能性があります」と説明している。本来は書き換えられないはずのプログラムのファイルを別の利用者が差し替えれば、ソフトの起動時にその中身が動くことになる。

深刻度を表す共通の物差し「CVSS」の基本値は、最新のバージョン4.0で10点満点の8.5、従来のバージョン3.0で7.8とされた。評価の内訳では、攻撃はそのパソコン上から行うもの（ローカル）で、一般の利用者程度の権限が必要とされる。一方、成功した場合に情報の機密性・完全性・可用性の3つすべてに大きな影響が出るとの評価になっている。識別番号はCVE-2026-113345。

対象はVer.4.0.36以前、最新版は4.0.37

影響を受けるのは「電子納品物検査支援システム Ver.4.0.36およびそれ以前」。JVNは対策として、すでにインストールしている場合は最新版にアップデートすること、新たにインストールする場合は開発者が提供する最新版のインストーラーを使うことを挙げた。

ソフトを配布している「港湾CALS」のウェブサイトでは、10月20日付で最新のVer.4.0.37が公開されている。同サイトの更新情報は、旧版で作った電子成果品のZIPファイルではオンラインでの電子納品がエラーになる場合があるとして、最新版を使うよう求めている。28日時点で確認した同サイトの更新情報には、今回の脆弱性についての記載は見当たらなかった。

使っているバージョンは、ソフトを起動した直後の画面にある「バージョン情報」で確かめられると同サイトは案内している。なお、配布ページによると、このソフトは受注者用で、発注者はバージョンの末尾が「H」となっている別のツールを使う。JVNの公表文は、この発注者用のツールが対象に含まれるかどうかには触れていない。

港湾・空港工事の成果品を電子で納める仕組み

電子納品は、調査・設計業務や工事の最終成果品を、紙ではなく電子データで発注者に納めることを指す。港湾CALSのサイトの説明では、国交省では2001年に電子入札と電子納品が始まった。港湾空港関係の事業では、港湾整備事業、海岸整備事業、空港整備事業が電子納品の対象となっている。

港湾CALSは、港湾施設の計画・調査から施工管理・維持管理までの情報を電子化し、関係者で共有する国交省港湾局の取り組みだ。サイトは目的として、受発注者間の情報のやり取りを電子化して業務を効率化することや、「究極的なペーパーレス化」を掲げている。

電子納品物検査支援システムは、こうした電子納品に使うソフトとして港湾CALSのサイトで配られている。先に触れた更新情報の記述からは、このソフトで納品用の電子成果品のZIPファイルを作ることが分かる。令和7年4月以降に契約を結ぶ直轄の工事・業務には、同年3月に改定された港湾空港関係のガイドラインが適用されると、配布ページは案内している。ソフトは、工事や調査・設計業務を受注した事業者のパソコンに入れて使われる。

2024年にも別の脆弱性で更新を要請

このソフトに脆弱性が公表されるのは初めてではない。JVNは2024年1月23日、同じソフトのVer.4.0.31以前と、国交省の「電子納品チェックシステム」の（土木）（電通）（機械）の3種に、XML外部実体参照（XXE）に関する脆弱性があると公表していた（JVN#77736613）。細工したXMLファイルを読み込ませると、システム内の任意のファイルを読み取られる可能性があるという内容で、CVSS（バージョン3.0）の基本値は2.5だった。

港湾CALSの配布ページには、この時の「【重要】電子納品物検査支援システムのバージョンアップのお願い」がいまも掲げられており、「まだ最新バージョンへの更新がお済みで無い場合は、速やかにバージョンアップ頂くよう改めてお願いいたします」と呼びかけている。同サイトの新着情報を見ると、2024年3月のVer.4.0.34以降、ほぼ毎年のように新しい版が出ており、そのたびに最新版への更新を求めてきた。

前回の脆弱性は、細工されたファイルを開いた場合に情報を読み取られるというものだった。今回は、ソフトの置かれたフォルダのファイルそのものを書き換えられるおそれがあるもので、CVSSの基本値は前回を大きく上回った。

報告者が国交省に直接届け出

今回の脆弱性は、GMO Flatt Security株式会社のRyotaK氏が製品開発者である国交省に直接報告し、調整を経てJVNでの公表に至った。JVNは、日本で使われているソフトウェアなどの脆弱性情報と対策情報を提供するポータルサイトで、JPCERTコーディネーションセンターと情報処理推進機構（IPA）が2004年7月から共同で運営している。

脆弱性の届け出と公表をめぐっては、脆弱性の届出、10月から内閣府へ通知　IPAが改訂ガイドライン公開　悪用の疑いか影響大なら対象のように、国の制度の見直しも進んでいる。

電子納品物検査支援システムは、国が作って受注者に配るソフトであり、利用者は国の配布ページを頼りに更新することになる。今回の公表を受けて、配布元が脆弱性の内容と対象のバージョンを利用者にどう知らせるかが問われる。利用している事業者は、起動画面でバージョンを確かめ、4.0.36以前であれば最新版に入れ替える必要がある。