2009年10月以降に発売されたパナソニック製のPCに脆弱性があると発表されました。Panasonicの告知はこちら。
告知によると，Windowsサービスの実行パスのパスが引用符で「””」囲まれていないという脆弱性のようです。CWE-428に詳細が書かれているのですが，要するに，引用符で囲まれていない実行パスをWindowsサービスが起動しようとすると，半角スペースのあるパスは悪意あるプログラムに攻撃される可能性があるということです。

例えば，次のようなパスがあるとします。
C:\Program Files\hogehoge.exe
このhogehoge.exeをサービスが起動しようとするケースで，
C:Program.exe
のようなマルウェアを実行されてしまう可能性があります。

通常，Windowsでは他のプログラムを起動するときは，実行パスを引用符で囲むお作法があります。バッチファイル内でプログラムを実行するときに，引用符で囲まれていないパスを指定して，そのパスに空白文字が入っているため，File not foundのエラーになってしまうケースなどが，このお作法違反にあたります。

このパナソニックPCの脆弱性についてはJVN#36895151にも告知が出ています。

私のLet’s note CF-RZ4も2009年以降に購入したものなので，該当してしまいます。そこで，さっそくPanasonicのサイトからパッチをダウンロードして適用してみました。

手順は簡単でPanasonicの告知サイトから「サービスパス脆弱性対応ユーティリティ」をダウンロードして実行すると「RSrvPath.exe」というファイルが出てくるので，それを実行するだけです。

サービスの実行パスは，[コントロールパネル]-[管理ツール]-[サービス]を起動して，任意のサービスのプロパティを開くと表示されます。
例えば，今回の脆弱性に関係していると思われる，Panasonicのサービスのプロパティを開いてみると，「実行ファイルのパス」が引用符で囲まれていないことがわかります。下の図の真ん中あたりです。

そして，こちらの図がパッチ適用後の同じサービスのプロパティです。「実行ファイルのパス」が引用符で囲まれていることがわかります。

このパッチは適用しておいたほうがいいですね。そして，PCをリカバリーした時は元に戻ってしまうでしょうから，このパッチを適用することをお忘れなく。

ちなみに，ほかのサービスは同じ脆弱性を持ってないのだろうか？と思って，少し見てみたら，ありますね。例えばこれ。

この「Claims to Windows Token Service」はMicrosoftのサービスのようですが，修正しないんですかねぇ。