Tweet

バッファオーバーフローで不正コード実行の可能性

国産圧縮ソフトにまた脆弱性、今度はzipも

2007/09/05

　情報処理推進機構（IPA）のセキュリティセンターおよびJPCERT/CCは9月5日にオープンソースのWindows向け圧縮・展開ライブラリ「7-ZIP32.DLL」にバッファオーバーフローの脆弱性があると発表した。7月30日にIPAが届け出を受けたもので、その後、開発者と調整してすでに修正バージョンが公開されている。

　7-ZIP32.DLLは、7z形式やzip形式などのファイルの圧縮・展開を行うライブラリで、バージョン4.42.00.03およびそれ以前のものに脆弱性が確認されている。作者の秋田稔氏によれば、非常に長いファイル名のファイルを含んだ書庫の格納ファイルのリストを取得、あるいは解凍する際に、深い再帰呼び出しが発生してスタックバッファオーバーフローが発生し、その後、ヒープバッファオーバーフローが発生し、書庫に仕込まれた不正なコードを書庫の操作で実行される可能性があるという。

（＠IT 西村賢）

情報をお寄せください：

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）