「OpenOffice.org に複数の危険性が見つかり、対応版が公開」記事へのコメント

（逆転裁判風に）意義あり！！

[geeekwizzard (30506)]

投稿者のタレコミと、ITmedia の記事やSecunia.com の記事で食い違いがあります。読む方はご注意ください。

OpenOfficeに危険度「高」の脆弱性 [itmedia.co.jp]

　1つ目の脆弱性は、特定のマクロがひそかに実行されてしまうというもの。攻撃者はこれを悪用して、ユーザーに不正なマクロを含むファイルを開かせることで脆弱なシステムを完全に掌握できる。

　2つ目は、特殊な細工がされたJavaアプレットを処理する際にエラーが生じることが原因。攻撃者はこれを悪用して、不正

Re:異議あり？

[SassyOS2 (8523)]

投稿者のタレコミと、ITmedia の記事やSecunia.com の記事で食い違いがあります。

この書き方ではタレコミとSecuniaの記事が食い違っているように読めますが、そうではないですよね。あくまであなたが引用しているITmediaの記事とタレコミに（食い違いと言ってもいいけど）温度差があるというだけの話。そしてタレコミにあるSecuniaのアドバイザリ [secunia.com]では問題の深刻度を5段階の3(Moderately critical)とし、一方ITmediaが参照しているFrSIRTのアドバイザリ [frsirt.com]では4段階の4(Critical)としていることが、この温度差の原因のようです。

で、セキュリティ評価の仕方は各社それぞれとは思いますけれど、仮に脆弱なシステムを完全に掌握される可能性があっ

Re:異議あり？

[geeekwizzard (30506)]

http://www.openoffice.org/security/bulletin-20060629.html

を再度確認してきたら、、、Itmediaの記事も不適当でした。すみません。以下、上記URLからたどれる各問題のImpactに含まれる、該当箇所の抜粋です（これを見る限りだとCVE-2006-2198もCVE-2006-2199も、やはり任意のコードが実行できるということではなさげですが...）

Java Applets, CVE-2006-2199

The offending Applets may be constructed to destroy/replace files, read or send private data, and/or cause additional security issues.

Macro, CVE-2006-2198

The user will not be asked or notified and the macro will have full access to system resources with current user's privileges. As a result, the macro may delete/replace files, read/send private data and/or cause additional security issues.

File Format, CVE-2006-3117

The buffer overflow allows for a value to be written to an arbitrary location in memory. This may lead to command execution in the context of the current user.