アカウント名:
パスワード:
ここが受理してれば対応はされたはず…ということですかね。
何か勘違いをなさっているような気が。
LHA書庫を扱う際、1.大きなヘッダによるバッファオーバーフロー2.バッファオーバーフロー回避の結果起こる検疫通過の2つの脆弱性があり、バッファオーバーフローについては、CVE-2004-0234 [mitre.org] 等で既に脆弱性として扱われています。
私が問題と言っているのは、検疫通過の方です。これはアンチウィルス限定の脆弱性であり、一般の解凍ソフトでは問題になりません。検疫通過はアンチウィルス製品メーカー以外では対応できないので、一般の解凍ソフト作者への働きかけは関係無い話です。
これって、アンチウィルス製品メーカの対策って２つありますよね？
１．LHA書庫を全て検閲する（どんなヘッダであっても、無視せずに解凍して中身をチェックする）２．LHA書庫を"対応書庫ファイルから外す"# 「きちんと検閲する」or「そもそも検閲しない」
いくつかのアンチウィルス製品メーカのサイトを探してみましたが、具体的にどの圧縮形式に対応しているかわかりませんでした。ので、そこをつまびらかにすれば、「LHAの中身は探さないんだ＝やばいかも」とユーザにわかるようになる気が。# それこそ超マイナーな圧縮形式には対応してらんないでしょうし。
問題の本質は一見LHA書庫の中身も検閲しているように見えるけれども、すり抜けているってところですよね。何を調べて、何を調べていないのか、きちんと明示しなきゃいかん、みたいな風潮になると良いなあ:-P
どうかなあ。それはアンチウイルスに対する期待が大きすぎるんじゃないかな？「UPXでのパックに対応している」と書いてあれば、それは全てのUPXをサポートすべきだと思う。
でも「LZHの自己解凍モジュール形式には対応していない（or 対応リストに載っていない)」という対応は十分アリだと思う。使わなきゃ良いだけの話なので。
怪しげな実行ファイルは実行しないとか、安全が確保されていない圧縮形式で保管はしない・受け取らないとか、そういう対策をとれるからねー# その意味で、今回のLHAは使わないようにしようってのは悪くない対応なのかも？
あの、どうでもいい突っ込みかもですけど、s/検閲/検疫/gでは？＃それとも、ちゃんと意味がある？
普通、アンチウイルスソフトで検疫というと見つけたウイルス等の隔離の意味で使っているんじゃないかな？だから調べるという意味で検閲と言っているのではないかと＃わかんないけど
2.は対策じゃないでしょう。
日本向けに販売しておいて、日本でそれなりのシェアを持つ圧縮形式に対応せず、「ウィルス検出率○○％！」とか謳うのは詐欺じゃないですか？
調べることが出来ないファイルを、手段があるにもかかわらず面倒だからと除外しておいてまともなアンチウィルスソフトを名乗れるものなのでしょうか？アプリの機能としてもだが、メーカーの対応としても。
＃一太郎とLHA、それぞれのジャンル内でのシェアはどっちが大きいんだろう？＃OOoでもいいけど。
> IPAの会長が誰かご存知ですか？
IPA理事長の名前でググる [google.co.jp]と。。。
IPA、、、更新しなきゃダメじゃないか。
とっくの昔から国際ビジネスの場では英語標準でしょ。ビジネスだけじゃない。音楽だって、J-POPだのJ-ROCKだの頭にJ-がつくようなジャンルならともかく、クラシックだのトラッドだのをやりだせば英語がついてくるよ。海外の文献に触れたり海外ミュージシャンとコンタクト取ったり楽器の個人輸入したりいくらでも機会がある。
ガラケーが日本国内では有効なように日本語も日本国内では有効だってだけの話。
マイクロソフトはWIndows XPの頃に配布していたようですが、WIndows7対応とかServer製品でのサポートってしてるのかは知りません。
Windows Server 2008 R2 や Windows 7 は LHA 圧縮形式の "解凍" に標準で対応しています。
http://ja.wikipedia.org/wiki/LHA [wikipedia.org]
詳細はこのあたりをどうぞ。
この騒動で一番重要な事は、「LZH終了のお知らせ」ではなく、アンチウィルスソフトウェアの脆弱性が放置されている点にあります。
だったら、 「LZH 書庫利用は お勧めしません」じゃなくて 「そのようなアンチウィルスソフトウェアの利用を中止しましょう」にしなくちゃ。
＃どのアンチウィルスソフトウェアだったら使えるんだろう？
どのアンチウィルスベンダーも対応してくれそうにないから LZH 自体を終了します、じゃないの？
余程の騒ぎにならない限り基本的に日本独自では動かないんじゃないですかね。（Winnyとかみたいな？）もしそうだとするんならJVNなんて無くてもいい。海外の情報だけ見てても同じことなんだから。
> アンチウィルスの脆弱性として扱われれば、メーカー各社は必死に修正するでしょう。ガラパゴスCERTにしか受理されてないマイナーな問題なんか無視されるだけだったりして。そういう意味でもとっととbugtraqにゼロデイ投げたりするほうが近道だと思いますね。
LHA作者さん [kurosawa-hp.jp]に取材に行くメディアはないものでしょうかね。
不受理なんだから、堂々と bugtraq ML なりに PoC つきで投稿すればいいだけだと思う。 Bugtraq ID がつけば、そのうち直るでしょう。
それをさせないための情報セキュリティナントカカントカパートナーシップでしょ。取り扱い終了になっても脆弱性情報を漏らさないよう口出ししてくる [klab.org]んだっけ?
それをさせないための情報セキュリティナントカカントカパートナーシップでしょ。
そう思って新規案件をタレ込んだのに不受理だったんだから、「それは脆弱性じゃない」と判断されたということでしょう。だから、気兼ねなく公開すればいいんです。
取り扱い終了になっても脆弱性情報を漏らさないよう口出ししてくるんだっけ?
Exploit が書けるほどの詳細情報を公開してしまうと、アップデートが済んでいない人にとってはむしろ脅威が増大してしまうので、そうならないよう注意してくださいね、という程度のことでしょう。それはむしろ当然なわけで。
なぜ不受理にしたんでしょうね、ただ告知するだけでいいはずだよね？
１．面倒臭かったから２．忘れていた３．ZIPしか知らなかった４．企業相手しかしない、個人相手はしない（見下した態度を取った）
個人的には
5. 既に同類の情報が掲載されているから。
で、UNLHA32 復活希望なんですが。
http://blog.livedoor.jp/blackwingcat/archives/1172446.html [livedoor.jp]個人的にまとめたその根拠とか
担当職員が「脆弱性」の意味を理解できていないに一票。自分で判断せずに、外国のデータベースに追従とかなんでしょう。
こういう場合、赤子に噛んで含めるように教えてやる必要があるんですかねぇ。つまり、実際に脆弱性を突いたマルウェアを作れってことか……
5. 作者の方が十分な説明が出来なかった
ここでも「どうして受理してもらわないといけないの？」「悪用される件数が多ければアンチウィルスソフトメーカーが自主的に対応するはず」「結局解凍時に検知されるのでは？」といった意見が飛び交っていて、どうも受理してもらわないといけない理由が今ひとつ見えてない状態ですよね。作者さんも、一度や二度不受理の回答が来たからといって簡単に諦めずに、粘り強く必要性を説明すればよかったんじゃないかなあ。もちろん、個人で無料でやってる仕事だからそこまでは出来ない、そして手伝ってくれる人もいないということであれば残念ながらそこまででしょうけど、それは受理してくれなかった相手方に文句を言う筋合いのものでもないような。
#特許だって申請したら最初は突き返されるのが普通で、そこから粘り強く交渉して必要性を明確にして行くものですしね。
タレコミ文にも貼ってあるLZH書庫のヘッダー処理における脆弱性について(2010年版) [nsknet.or.jp]程度に正確かつ分かり易く書かれた報告を理解できない脆弱性受付窓口なんて要らない。
既にLHAを標的にしたマルウェアが繁殖しまくっているのならそうでしょうけど、今のところそれほどでもないですよね？むしろ繁殖してくれるならウィルス対策ソフトメーカーの方が勝手に対応してくれるだろうけど、特に利用される雰囲気がない脆弱性だからとりあえず突き返されているのでは？
それでもこれが重要な問題だと思うなら、粘り強く説得しなさいよ、ってことでしょう。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー
つまり主犯はIPAなんだな？ (スコア:5, すばらしい洞察)
ここが受理してれば対応はされたはず…ということですかね。
Re:つまり主犯はIPAなんだな？ (スコア:5, すばらしい洞察)
この騒動で一番重要な事は、「LZH終了のお知らせ」ではなく、アンチウィルスソフトウェアの脆弱性が放置されている点にあります。
海外のCVEはともかく、日本のIPAはLZH形式を知らないはずが無いわけです。日本国内でのLZHファイルの流通量についても知っている(少なくとも調査は容易に行える)はずなので、影響範囲は小さくないとすぐに分かったはずです。
さらに、他形式における対応(アンチウィルスの脆弱性として受理)を考えれば、IPAがアンチウィルスの脆弱性を受理しない事の方が不思議です。
なぜ脆弱性情報が受理されなかったのか、今後はそちらの方が問題になるのではないかと思います。
Re:つまり主犯はIPAなんだな？ (スコア:1)
LHA形式の圧縮/復元ユーティリティを大手中の大手マイクロソフトも配布してはいますけども、たいていの配布元は個人です。
マイクロソフトはWIndows XPの頃に配布していたようですが、WIndows7対応とかServer製品でのサポートってしてるのかは知りません。
また、LHAユーティリティは窓の杜やベクターを通じて入手するケースが多いのでしょうけどそういうところにIPAは働きかけするんでしたっけね?
それに流通はほぼ日本が中心。海外ではLHA形式単体はマイナーなんですよね?
IPAとしては、多数の個人のソフトウェア開発配布元を人手の足りないIPA自身でコントロールしようと試みるのは荷が重いと判断した,
その結果不受理による切り捨てという顛末なのではないだろうか?
LHA形式を切り捨ててもzipもgzipもbz2も7zipも代替手段としてあるわけで、この辺のユーティリティソフトウェアは日本のIPAが真っ先に主導権
をとらなくても残りの世界中で誰かがイニシアティブを発揮してコントロールしてもらえることがわかりきっているわけですし。
Re:つまり主犯はIPAなんだな？ (スコア:5, 参考になる)
何か勘違いをなさっているような気が。
LHA書庫を扱う際、
1.大きなヘッダによるバッファオーバーフロー
2.バッファオーバーフロー回避の結果起こる検疫通過
の2つの脆弱性があり、バッファオーバーフローについては、CVE-2004-0234 [mitre.org] 等で既に脆弱性として扱われています。
私が問題と言っているのは、検疫通過の方です。これはアンチウィルス限定の脆弱性であり、一般の解凍ソフトでは問題になりません。
検疫通過はアンチウィルス製品メーカー以外では対応できないので、一般の解凍ソフト作者への働きかけは関係無い話です。
対策２つありますよね？（Re:つまり主犯はIPAなんだな？ (スコア:2)
これって、アンチウィルス製品メーカの対策って２つありますよね？
１．LHA書庫を全て検閲する（どんなヘッダであっても、無視せずに解凍して中身をチェックする）
２．LHA書庫を"対応書庫ファイルから外す"
# 「きちんと検閲する」or「そもそも検閲しない」
いくつかのアンチウィルス製品メーカのサイトを探してみましたが、具体的にどの圧縮形式に対応しているかわかりませんでした。
ので、そこをつまびらかにすれば、「LHAの中身は探さないんだ＝やばいかも」とユーザにわかるようになる気が。
# それこそ超マイナーな圧縮形式には対応してらんないでしょうし。
問題の本質は一見LHA書庫の中身も検閲しているように見えるけれども、すり抜けているってところですよね。
何を調べて、何を調べていないのか、きちんと明示しなきゃいかん、みたいな風潮になると良いなあ:-P
Re:対策２つありますよね？（Re:つまり主犯はIPAなんだな？ (スコア:1)
それによると、LHAによるパッキングには、テストしたアンチウィルスソフト10種類のうち9種類（オープンソースの ClamWin ver0.95.3 を除く）が対応しているそうです。
メジャーなアンチウィルスソフトはLHAによるパッキングに対応してるのですね。
もっとも、いくつかのアンチウィルスソフトでは検出ができないパッキング形式もあるようですし、アンチデバッキングツールで改変したウイルスに対しては完全な対応ができるソフトが皆無だったという結果から、アンチウィルスソフトを過信してはいけないのは当然でありますが。
Re: (スコア:0)
独自形式あるいは既存のものを少し変えたアーカイバを内包し、マルウェア本体一式をアーカイブして隠す、なんてことは普通にありえるでしょう。
たとえばUPXでパックされていたらウイルススキャンの対象から外れるなんて言われたら、そんなアンチウイルスソフトは使いたくなくなるでしょ。
LZHには自己解凍モジュール形式もあるのですから、それなりにサポートされてないとマズいと思いますよ。
Re:対策２つありますよね？（Re:つまり主犯はIPAなんだな？ (スコア:2, 興味深い)
どうかなあ。それはアンチウイルスに対する期待が大きすぎるんじゃないかな？
「UPXでのパックに対応している」と書いてあれば、それは全てのUPXをサポートすべきだと思う。
でも「LZHの自己解凍モジュール形式には対応していない（or 対応リストに載っていない)」という対応は十分アリだと思う。
使わなきゃ良いだけの話なので。
怪しげな実行ファイルは実行しないとか、安全が確保されていない圧縮形式で保管はしない・受け取らないとか、そういう対策をとれるからねー
# その意味で、今回のLHAは使わないようにしようってのは悪くない対応なのかも？
Re: (スコア:0)
LGPLの7-zipのコードを含みながらリバースエンジニアリングを禁止するウイルスバスター2010のような商品もありますが
Re: (スコア:0)
３． 4KB以下のヘッダならチェックする。4KBを超えるのは弾く。
ってのは半分冗談だけど、実際問題、LZHを使うウィルスが流行ったら4KB超えるヘッダ（実際はヘッダに出るもっと限定的なパターンだろうけど）をマーカーにすればよいわけ。
で、脆弱性なんて見方の問題も大きいから、アンチウィルス製品メーカから見ると、
・4KBを超えるヘッダを扱えるアーカイバはチェックできないファイルを扱う脆弱性がある
・特に4KBを超えるヘッダを作るアーカイバは危険であり使わない事が推奨される
・4KBを超えるヘッダを持つLZH形式のファイルは安全であると確信できる場合を除き破棄すべきである
・LZH形式はヘッダの最大長が規定されていないため仕様に潜在的な（DoSなどの）脆弱性を持つ
とか言えるわけなんだよね。
Re: (スコア:0)
あの、どうでもいい突っ込みかもですけど、
s/検閲/検疫/g
では？
＃それとも、ちゃんと意味がある？
Re:検閲？ 検疫？ (スコア:0)
普通、アンチウイルスソフトで検疫というと見つけたウイルス等の隔離の意味で使っているんじゃないかな？
だから調べるという意味で検閲と言っているのではないかと
＃わかんないけど
Re: (スコア:0)
2.は対策じゃないでしょう。
日本向けに販売しておいて、日本でそれなりのシェアを持つ圧縮形式に対応せず、
「ウィルス検出率○○％！」とか謳うのは詐欺じゃないですか？
調べることが出来ないファイルを、手段があるにもかかわらず面倒だからと
除外しておいてまともなアンチウィルスソフトを名乗れるものなのでしょうか？
アプリの機能としてもだが、メーカーの対応としても。
＃一太郎とLHA、それぞれのジャンル内でのシェアはどっちが大きいんだろう？
＃OOoでもいいけど。
Re: (スコア:0)
過去にも誤認識でしたが書庫内のファイルを検知したことがありましたよ。
Re: (スコア:0)
Re:つまり主犯はIPAなんだな？ (スコア:2, すばらしい洞察)
Re: (スコア:0)
＃天下りならぬ天上りか :-)
Re: (スコア:0)
ほぼ日本限定の言語で表明してくるんだろうなぁ....という部分は苦笑する他ないかもね。
#突き詰めればそこに行き着くけど？ 欧米賞賛主義の方は気づいてないかもしれないが。
Re: (スコア:0)
> IPAの会長が誰かご存知ですか？
IPA理事長の名前でググる [google.co.jp]と。。。
IPA、、、更新しなきゃダメじゃないか。
Re: (スコア:0)
とっくの昔から国際ビジネスの場では英語標準でしょ。
ビジネスだけじゃない。音楽だって、J-POPだのJ-ROCKだの頭にJ-がつくようなジャンルならともかく、クラシックだのトラッドだのをやりだせば英語がついてくるよ。海外の文献に触れたり海外ミュージシャンとコンタクト取ったり楽器の個人輸入したりいくらでも機会がある。
ガラケーが日本国内では有効なように日本語も日本国内では有効だってだけの話。
Re: (スコア:0)
Re:つまり主犯はIPAなんだな？ (スコア:2)
しかも、各ジャンル（といっていいよな）に関係の深い言語があるのは当たり前で
たとえばキリスト教関係のことやってるとラテン語なんて死語がついてくるわけで。
その意味では、なにも英語が特殊な位置にあるわけではない。
Re:つまり主犯はIPAなんだな？ [オフトピ、もしくは余計なもの] (スコア:3, 参考になる)
マイクロソフトはWIndows XPの頃に配布していたようですが、WIndows7対応とかServer製品でのサポートってしてるのかは知りません。
Windows Server 2008 R2 や Windows 7 は LHA 圧縮形式の "解凍" に標準で対応しています。
http://ja.wikipedia.org/wiki/LHA [wikipedia.org]
詳細はこのあたりをどうぞ。
Re: (スコア:0)
これが厄介かもしれません。すなわち、あくまで日本ローカルの問題として
認識され、国際的なアンチウィルスベンダは対応の優先度を下げてしまう可能性です。
（というか、こういった問題が長らく放置されてきたということは
そういうことなんだと思います）
IPAやJPCERTの「脆弱性」の定義はどうであれ、多くのアンチウィルスソフトが
細工されたLZHアーカイブを素通ししてしまう事態は現実的な脅威でしょう。
日本ローカルの問題だからこそ、IPAやJPCERTが騒がないといけないはずなのに、
脅威の存在さえ認めないというのは異常です。これを悪用したウィルス攻撃
が発生した場合、彼らの責任は重大でしょうね。
陰謀論 (Re:つまり主犯はIPAなんだな？ (スコア:0)
その脆弱性を利用しているユーザーに配慮してのことかもしれません。
Re: (スコア:0)
だったら、
「LZH 書庫利用は お勧めしません」
じゃなくて
「そのようなアンチウィルスソフトウェアの利用を中止しましょう」
にしなくちゃ。
＃どのアンチウィルスソフトウェアだったら使えるんだろう？
Re:つまり主犯はIPAなんだな？ (スコア:2, すばらしい洞察)
どのアンチウィルスベンダーも対応してくれそうにないから LZH 自体を終了します、じゃないの？
Re:つまり主犯はIPAなんだな？ (スコア:1)
あるわけで、配布を停止しただけでは意味がない。
いまだに後生大事にWindows98とか使ってる人もいるぐらいだし、
Re: (スコア:0)
Re: (スコア:0)
余程の騒ぎにならない限り基本的に日本独自では動かないんじゃないですかね。
（Winnyとかみたいな？）
もしそうだとするんならJVNなんて無くてもいい。
海外の情報だけ見てても同じことなんだから。
Re: (スコア:0)
> アンチウィルスの脆弱性として扱われれば、メーカー各社は必死に修正するでしょう。
ガラパゴスCERTにしか受理されてないマイナーな問題なんか無視されるだけだったりして。
そういう意味でもとっととbugtraqにゼロデイ投げたりするほうが近道だと思いますね。
Re:つまり主犯はIPAなんだな？ (スコア:1, すばらしい洞察)
Re:つまり主犯はIPAなんだな？ (スコア:1)
LHA作者さん [kurosawa-hp.jp]に取材に行くメディアはないものでしょうかね。
Re:つまり主犯はIPAなんだな？ (スコア:1)
不受理なんだから、堂々と bugtraq ML なりに PoC つきで投稿すればいいだけだと思う。 Bugtraq ID がつけば、そのうち直るでしょう。
Re: (スコア:0)
それをさせないための情報セキュリティナントカカントカパートナーシップでしょ。
取り扱い終了になっても脆弱性情報を漏らさないよう口出ししてくる [klab.org]んだっけ?
Re:つまり主犯はIPAなんだな？ (スコア:1)
そう思って新規案件をタレ込んだのに不受理だったんだから、「それは脆弱性じゃない」と判断されたということでしょう。だから、気兼ねなく公開すればいいんです。
Exploit が書けるほどの詳細情報を公開してしまうと、アップデートが済んでいない人にとってはむしろ脅威が増大してしまうので、そうならないよう注意してくださいね、という程度のことでしょう。それはむしろ当然なわけで。
Re: (スコア:0)
なぜ不受理にしたんでしょうね、ただ告知するだけでいいはずだよね？
１．面倒臭かったから
２．忘れていた
３．ZIPしか知らなかった
４．企業相手しかしない、個人相手はしない（見下した態度を取った）
Re:つまり主犯はIPAなんだな？ (スコア:1)
個人的には
5. 既に同類の情報が掲載されているから。
で、UNLHA32 復活希望なんですが。
http://blog.livedoor.jp/blackwingcat/archives/1172446.html [livedoor.jp]
個人的にまとめたその根拠とか
Re: (スコア:0)
担当職員が「脆弱性」の意味を理解できていないに一票。自分で判断せずに、外国のデータベースに追従とかなんでしょう。
こういう場合、赤子に噛んで含めるように教えてやる必要があるんですかねぇ。つまり、実際に脆弱性を突いたマルウェアを作れってことか……
Re: (スコア:0)
5. 作者の方が十分な説明が出来なかった
ここでも「どうして受理してもらわないといけないの？」「悪用される件数が多ければアンチウィルスソフトメーカーが自主的に対応するはず」「結局解凍時に検知されるのでは？」といった意見が飛び交っていて、どうも受理してもらわないといけない理由が今ひとつ見えてない状態ですよね。
作者さんも、一度や二度不受理の回答が来たからといって簡単に諦めずに、粘り強く必要性を説明すればよかったんじゃないかなあ。
もちろん、個人で無料でやってる仕事だからそこまでは出来ない、そして手伝ってくれる人もいないということであれば残念ながらそこまででしょうけど、それは受理してくれなかった相手方に文句を言う筋合いのものでもないような。
#特許だって申請したら最初は突き返されるのが普通で、そこから粘り強く交渉して必要性を明確にして行くものですしね。
Re:つまり主犯はIPAなんだな？ (スコア:1)
タレコミ文にも貼ってあるLZH書庫のヘッダー処理における脆弱性について(2010年版) [nsknet.or.jp]程度に
正確かつ分かり易く書かれた報告を理解できない脆弱性受付窓口なんて要らない。
名物に旨いものなし！
Re: (スコア:0)
終わってますよ。
Re: (スコア:0)
既にLHAを標的にしたマルウェアが繁殖しまくっているのならそうでしょうけど、今のところそれほどでもないですよね？
むしろ繁殖してくれるならウィルス対策ソフトメーカーの方が勝手に対応してくれるだろうけど、特に利用される雰囲気がない脆弱性だからとりあえず突き返されているのでは？
それでもこれが重要な問題だと思うなら、粘り強く説得しなさいよ、ってことでしょう。
Re:つまり主犯はIPAなんだな？ (スコア:1)
勉強になりました。