「gzipに複数の脆弱性～LHAにも関連あり？」記事へのコメント

知らなかった！

[miyachi-y (28238)]

gzipで、lzhが扱えるなんて...

Re:知らなかった！

[Anonymous Coward]

念のため。
アルゴリズムとして lzh を使えるということであって、LHA で圧縮したファイルを gzip でほどけるというわけではない。

Re:知らなかった！

[taka2 (14791)]

もうちょっと書くなら、互換性のために、gzip は
(SCO compress -H) で圧縮されたファイルも伸張できるようになっている、ということですね。

LHAも SCO compress -H も、圧縮アルゴリズムとして
Lempel-Ziv(LZ77)と Huffman を組み合わせているという点では同じですが、
この2者に直接の関係はありません。

ついでに書けば、gzip は「GNU の zip」ではありません。
gzip の圧縮と zip の圧縮は別物です。

zip のdeflate圧縮したファイルも扱えたりしますが、
(こちらは単位アルゴリズムが同じだけではなく、1ファイルだけdeflate圧縮したzip ファイルを伸張できる)
これは compress で圧縮したものを扱えるのと同じように、
ユーザーの利便性を考えてサポートされたものです。

Re:知らなかった！

[tt (2867)]

なんか全体的によくわからない日本語ですね…ACの方が記述されてますが、ソースコードからしてgzipはGNUのzipですよ。ただし、ここでいうところのzipは商標であるところのziploc [wikipedia.org]から着た、「一般的な圧縮機能を持つソフト」です。 一般的に".zip"という拡張子がつく書庫+圧縮ファイルを処理できる、GNUが配布するソフトではない、という意味では「GNUのzipではない」のですが。

zip のdeflate圧縮したファイルも扱えたりしますが、 (こちらは単位アルゴリズムが同じだけではなく、1ファイルだけdeflate圧縮したzip ファイルを伸張できる) これは compress で圧縮したものを扱えるのと同じように、 ユーザーの利便性を考えてサポートされたものです。

「利便性を考えて」とのことですが、gzipを使うといったら普通deflate形式ではないでしょうか。まあ確かにcompressだったりlh5だったりも使えるわけで、それが今回の脆弱性のメインなわけですが…

--
-- Takehiro TOMINAGA // may the source be with you!

Re:知らなかった！

[taka2 (14791)]

わかりにくくてすみません。
gzip は「PKZIP に由来する、拡張子 .zip な、いわゆるzip形式」の圧縮ファイルを取り扱うアーカイバの GNU 版ではない、
という意味で「GNU の zip ではない」と書きました。

gzipのネイティブなファイル形式(コンテナ)は、いわゆる zip 形式とは別のものが使われています(RFC1952 [futomi.com])
つまり、gzip といわゆる zip は圧縮アルゴリズムが同じなだけの別物です。
gzip と zip を同一視するのは、GIF と TIFF を圧縮アルゴリズムが同じ LZW だからといって同一視するようなものでしょう。

それなのに、このストーリーには、本来の問題である gzip とも、SCO compress とも無関係な、
たまたまアルゴリズムが同じなだけの zip と lzh についてのコメントで溢れてたものですから、ああいうコメントを書きました。

さらに細かいことを言うと、どちらも deflate 圧縮といっても、
zip は Lempel-Ziv + 動的ハフマンなのに対し、gzip の方は Lempel-Ziv + シャノン・ファノ [wikipedia.org]なので、
まったく同じものではありません。

Re:知らなかった！

[tt (2867)]

GIF と TIFF を圧縮アルゴリズムが同じ LZW だからといって同一視するようなものでしょう

これも誤解を招く気が。TIFFはコンテナですので、TIFFの中にJPEGを入れたり出来ますよ:)

本来の問題である gzip とも、SCO compress とも無関係

FreeBSDのパッチを見るとgzipというか、deflateのデコードに関するコードにもパッチが当たっている気がします。具体的には/home/ncvs/src/gnu/usr.bin/gzip/inflate.cへのパッチですね。ちなみに該当部分はzlibではinftrees.cにあったのですが、かなり昔に変更されているようです。

どちらも deflate 圧縮といっても、 zip は Lempel-Ziv + 動的ハフマンなのに対し、gzip の方は Lempel-Ziv + シャノン・ファノなので、 まったく同じものではありません。

うーん。「どちらもdeflateという規格を満たすストリームを作っているが、作り方が別」というのは確かですが、それをもって「まったく同じものではありません」という表現をするのはちょっと誤解されそうな…。LAMEでエンコードしようがiTunesでエンコードしようが、mp3直接エンコード機能のあるiPodのクレードルでエンコードしようが、同じmp3ですよね?まあ、確かに同一の入力に対して異なる出力になりますが。7zipのdeflateはgzipより10%ぐらい縮みますが、やっぱりdeflate圧縮ですよね。

--
-- Takehiro TOMINAGA // may the source be with you!

Re:知らなかった！

[taka2 (14791)]

> > GIF と TIFF を圧縮アルゴリズムが同じ LZW だからといって同一視するようなものでしょう
> これも誤解を招く気が。TIFFはコンテナですので、TIFFの中にJPEGを入れたり出来ますよ:)

いわゆる zip の方もいわばコンテナであり、deflate 以外の圧縮も入れられますね。
だから、tiff が LZW 以外も扱えることを考えても似たような例えになるかな、と。

> 7zipのdeflateはgzipより10%ぐらい縮みますが、やっぱりdeflate圧縮ですよね。

データとしてはdeflate圧縮である点は同じでも、圧縮アルゴリズムとしては、7-zip と普通の zip は別物であり、
実装に関するセキュリティホールについてのストーリーなんですから、データ構造よりもアルゴリズムの違いに注目すべきであしょう

もっとも、
> deflateのデコードに関するコードにもパッチが当たっている
なのでしたら、どちらもdeflateデコーダという点では同じものですね。すみません。

Re:知らなかった！

[Anonymous Coward]

> ついでに書けば、gzip は「GNU の zip」ではありません。

% head -1 /usr/src/gnu/usr.bin/gzip/gzip.c
/* gzip (GNU zip) -- compress files with zip algorithm and 'compress' interface