JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は4月28日、「JVNVU#90649144: セイコーエプソン製Windows版プリンタードライバーにおける不適切なファイルアクセス権設定の脆弱性」において、セイコーエプソンのWindowsプリンタドライバーに脆弱性が存在するとして、注意を喚起した。

悪意のあるDLL（Dynamic Link Library）ファイルを特定の場所に保存できる場合、SYSTEM権限で任意のコードを実行できる可能性がある。

  • JVNVU#90649144: セイコーエプソン製Windows版プリンタードライバーにおける不適切なファイルアクセス権設定の脆弱性

    JVNVU#90649144: セイコーエプソン製Windows版プリンタードライバーにおける不適切なファイルアクセス権設定の脆弱性

脆弱性に関する情報

脆弱性に関する情報は次のページにまとまっている。

脆弱性の情報(CVE)は次のとおり。

  • CVE-2025-42598 - 不適切なデフォルト権限の脆弱性。特定の言語以外のWindows環境において、プリンタドライバーの管理下にあるDLLファイルの一部を誰でも書き換えることができる。攻撃者はこれらファイルを書き換えることで、任意のコードをSYSTEM権限で実行できる可能性がある(CVSSv4.0スコア: 8.4)

セイコーエプソンは日本語ユーザー向けサイトおよび英語ユーザー向けサイトでそれぞれ異なる説明を行っている。前者は「日本語以外の言語環境」に影響があり、後者は「英語以外の言語環境」に影響があるとしている。

国や地域に関する公式発表はないが、日本国内向け製品は日本語以外の言語環境に影響があり、それ以外の国および地域向け製品では英語以外の言語環境に影響するものと見られる。

脆弱性の存在する製品

脆弱性の存在するプリンタドライバーを使用している製品は、合計333機種および3ソフトウェアとされる。

製品カテゴリーの内訳は、インクジェットプリンタ249機種、大判プリンタ56機種、レーザープリンタ20機種、業務用写真・プリントシステム5機種、デジタル捺染機3機種。ソフトウェアはEpson Connect Driver Standard、EPSON Print Admin、EPSON Universal Print Driver。詳細な製品一覧は次のWebページから確認することができる。

対策

セイコーエプソンは対象の脆弱性を修正するソフトウェアとして、「Epsonプリンタードライバーセキュリティサポートツール」をリリースした。影響を受ける製品の利用者は、Epson Software Updaterによる修正ソフトウェアのダウンロードおよび実行が推奨されている。

  • Epson Software Updaterによる修正ソフトウェアのダウンロード画面 - 引用：セイコーエプソン

    Epson Software Updaterによる修正ソフトウェアのダウンロード画面　引用：セイコーエプソン

Epson Software Updaterを利用できない場合は、前述のセキュリティ脆弱性に関する情報ページから修正ソフトウェア(日本語および英語で異なる)をダウンロードすることができる。