Tweet

ゼロデイ攻撃を受けて修正

脆弱性に対処した「Lhaz」新版リリース

2007/08/21

　国産の圧縮／解凍ツール「Lhaz」に深刻な脆弱性が発見された件を受けて、作者は8月20日、修正を加えた新バージョン「Lhaz v1.34β2」を公開した。

　この脆弱性は、Lhazのgzip書庫の処理に起因する。細工が施されたgzip形式のファイルを開くとエラーが発生し、任意のコードを実行される恐れがある。バージョン1.34のリリース前に、この脆弱性を悪用してバックドアを設置しようとするゼロデイ攻撃コードが確認されていた（参考記事：また日本のフリー圧縮ツールにゼロデイ攻撃）。

　同ツールのユーザーには、早急なアップデートが推奨される。また、信頼できないWebサイトからダウンロードしたり、不審なメールに添付されているアーカイブファイルは不用意に開かないことも重要だ。

　なお、日本で提供されているフリーの圧縮・解凍ツールをめぐっては、6月にも「+Lhaca」の脆弱性を突いたゼロデイ攻撃が発生している。また、国産の商用ワープロソフト「一太郎」もたびたびゼロデイ攻撃のターゲットとなってきた。

　米マカフィーではブログの中で、グローバルに流通している英語版ソフトウェアに比べ、特定の国でしか利用されていないローカルなフリーソフトウェアは、ターゲットとするほどの価値がないとされてきたが、いまやそうした区別なく、同じセキュリティ脅威にさらされていると注意を呼び掛けている。

情報をお寄せください：

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）