デザイン名における保存型クロスサイトスクリプティング (XSS) 脆弱性

このXSS脆弱性は、攻撃者がAutodesk Fusionを実行しているユーザーのコンテキストで悪意のあるスクリプトを実行することを可能にします。攻撃者は、設計名に巧妙に作成されたHTMLペイロードを挿入し、それをCSVファイルとしてエクスポートすることで、この脆弱性を悪用できます。エクスポートされたCSVファイルを開くと、ペイロードが実行され、攻撃者はユーザーのローカルファイルにアクセスしたり、システム上で任意のコードを実行したりする可能性があります。この脆弱性は、機密情報の漏洩、マルウェアのインストール、またはシステム制御の奪取につながる可能性があります。攻撃者は、この脆弱性を利用して、ユーザーの認証情報を盗んだり、他のシステムへのアクセスを確立したりする可能性があります。

Organizations and individuals using Autodesk Fusion for design and engineering are at risk. Specifically, users who regularly export designs to CSV format and share those files with others are particularly vulnerable. Shared hosting environments where multiple users access the same Fusion installation could also amplify the risk, as a compromised user could potentially affect other users on the same system.

• windows / supply-chain:

Get-WinEvent -LogName Application -FilterXPath "*[System[Provider[@Name='Fusion.Desktop.App']] and EventID=1234]" -ErrorAction SilentlyContinue

• windows / supply-chain:

Get-Process -Name Fusion.Desktop.App -ErrorAction SilentlyContinue | Select-Object -ExpandProperty CommandLine

• generic web: Inspect CSV files exported from Autodesk Fusion for suspicious HTML tags (e.g., <script>, <iframe>) within design names.

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-04-14
3. 更新日2026-04-15
4. EPSS 更新日2026-04-22

Autodeskは、この脆弱性を修正したバージョン2702.1.47へのアップデートを推奨しています。アップデートがすぐに利用できない場合は、CSVファイルのエクスポートを一時的に停止し、信頼できないソースからのCSVファイルを慎重に扱うようにユーザーに指示してください。WAF（Web Application Firewall）を導入し、悪意のあるHTMLペイロードを検出してブロックするルールを設定することも有効です。また、Autodesk Fusionのログを監視し、異常なアクティビティを検出するためのカスタム検出ルールを作成することも推奨されます。アップデート後、Fusionアプリケーションを再起動し、バージョン番号が2702.1.47であることを確認してください。