パスワードを忘れた？ アカウント作成
Close
16341 story

Lhaplusにバッファオーバーフロー脆弱性、修正バージョンリリース 62

ストーリー by Acanthopanax
対策はお早めに 部門より

あるAnonymous Coward 曰く、

JVNの脆弱性レポート「 Lhaplus におけるバッファオーバーフローの脆弱性」によると、国内で人気の高いアーカイブ展開ソフトとして知られる「Lhaplus」のバージョン 1.54 beta 1 およびそれ以前にバッファオーバーフロー脆弱性があり、悪意ある細工の施されたARJ形式のアーカイブファイルを開いたときに、任意コードの実行を許してしまう危険があるとのこと。この脆弱性を修正したバージョン 1.55 がリリースされているので、使用している方は、作者のサイトからダウンロードしてアップデートされたし。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Lhaplusにバッファオーバーフロー脆弱性、修正バージョンリリース More

  • 連鎖 (スコア:1, 参考になる)

    by Anonymous Coward on 2007年09月21日 22時59分 (#1222845)
    最近、LHAなんとかの脆弱性露見が多いよね。
    LHAって、正直言って日本ローカルなアーカイブ形式なんだけど、なんで今連続して発覚するんだろう?
    1. 最近になってどこかが一所懸命探索作業を始めた
      JPCERTが突如成果主義になったとか(w
    2. 実は大元はひとつのコードで、それのコピーのコピーのコピーの……コピーがあちこちで使われている
    3. 本当はもっと大元が原因で、LHAなんとかが使っているデータフォーマットそのものに攻撃を許す欠陥があった
    4. その他
    さて、真相はいかに?

    • Re:連鎖 (スコア:4, 参考になる)

      by Anonymous Coward on 2007年09月21日 23時32分 (#1222885)
      ＞なんで今連続して発覚するんだろう?
      ＞
      ＞1.最近になってどこかが一所懸命探索作業を始めた

      正解。

      ＞JPCERTが突如成果主義になったとか(w

      (株)フォティーンフォティ技術研究所　鵜飼 裕司氏が片っ端から探しているように感じます。

      作者のページの説明の謝辞に [biglobe.ne.jp]発見者として鵜飼 裕司氏の名前が出ています。

      シェア
      親コメント

      • Winny対策ツールを500万円で売ってる会社の人か (スコア:1, 参考になる)

        by Anonymous Coward on 2007年09月22日 0時01分 (#1222905)
        その時のストーリー [srad.jp]と公式サイト [fourteenforty.jp]。
        # 実績作りだろうけど、セキュリティ向上への貢献は評価できるな
        シェア
        親コメント

      • Re:連鎖 (スコア:1, 参考になる)

        by Anonymous Coward on 2007年09月22日 4時38分 (#1223012)
        自己レス

        ＞(株)フォティーンフォティ技術研究所　鵜飼 裕司氏が片っ端から探しているように感じます。

        実際に探してました。 [fourteenforty.jp]

        修正されたのが、7-zip32.dllとLhaplus [fourteenforty.jp]です。

        ファイル圧縮展開ソフトに限れば、既知のものが他にも2本ほどあるようです。
        シェア
        親コメント
        • 素朴な疑問なんですが、こういうのってどうやって探してるんでしょう？
          ひたすらディスアセンブルして追っかけて行くとか？
          あるいはICEなどを使うものなのでしょうか？
          とはいえやはり人力なわけですよね…・

          自分が作ったプログラムだって、最適化の様子を見ようと思って
          アセンブラソースで落として眺めてみても本当に当該個所
          （速度的にボトルネックになりそうな場所）をながめるだけで
          相当時間がかかるのに、満足なシンボル情報もなくマシンコードだけ
          渡されてなんとかなるものなんだろうか…

          ワンチップマイコンでプログラム組んでた時はハンドアセンブル＆
          ハンドディスアセンブルでなんとでもなったものなんですが、
          現代的なプロセッサについてはもうお手上げです。
          俺が年食ったせいでしょうか。
          --
          屍体メモ [windy.cx]
          シェア
          親コメント
          • セキュリティ解析ソフトを多数用意して片っ端から突っ込んでみるのが簡単なんじゃないかな。
            # 膨大な種類の不正なクエリを自動生成して食わせるソフトなんかもあるし。

            有名どころのソフトでも、機械で見つかる脆弱性が残ってるものはけっこうありそう（個人製作のものはとくに）。MSとかIBMとかの製品でさえ、検出ツール導入で脆弱性が減った（ということは、使ってなかったら穴が空いたままだったはず）という話があるくらいだから。

            # ソースが手元にあるのとバイナリしかないのとでは効率が違うだろうし、時間とソフト代金を投資できる人しかできないけどね。

    • Re:連鎖 (スコア:2, 参考になる)

      by Anonymous Coward on 2007年09月21日 23時08分 (#1222857)
      本件はARJ展開時のバッファオーバーフローです。

      今回はアップデートを待ってからの脆弱性公開だったんですね。
      いつもこうだと良いのですが。
      シェア
      親コメント

    • Re:連鎖 (スコア:0)

      by Anonymous Coward
      今回の脆弱性にLHAが関連してるんですか…？
      「Lha」plusって名前だけを見た脊髄反射？
    • 最近、LHAなんとかの脆弱性露見が多いよね。
      LHAって、正直言って日本ローカルなアーカイブ形式なんだけど、なんで今連続して発覚するんだろう?
      拡張子辞典 .arjとは [sophia-it.com]より
      .arjとは、ARJ Software社のファイル圧縮・解凍ソフト「ARJ」によって圧縮されたファイルに付く拡張子のことである。
      ＃今回の話題とは直接関係ない最近のニュースのことで～、とかいう言い訳はなしね。

    • Re:連鎖 (スコア:0)

      by Anonymous Coward
      1. たぶんWinnyとか添付メールから狙いやすい場所で弱いところ、ということでLhaplus等を活発にあさっているのかも
      2. この手のソフトのルーチンはだいたい大元が決まっている。今回の場合だとunarjのコードが元のはず
      3. 欠陥があったとしても処理するソフトウェア次第。これは他のフォーマットも同じ
      4. はよく知らない

      # 適当なのでAC

    • Re:連鎖 (スコア:0)

      by Anonymous Coward
      > LHAって、正直言って日本ローカルなアーカイブ形式なんだけど、

      そういえば、Debianのlhaパッケージはnon-free、つまりオープンソースではない、ってことなんだけど、これはUNIX版だけ? オリジナルも非オープンソースなんですかね。

      いまどき、非オープンソースだと選ばない理由の1つになっちゃうです。

      • Re:連鎖 (スコア:1, 参考になる)

        by Anonymous Coward on 2007年09月22日 10時50分 (#1223070)
        > オリジナルも非オープンソースなんですかね。

        条件が曖昧 [osdn.jp]ということなんで、非フリー扱いするしかないのかと。
        シェア
        親コメント

  • 差分アップデート (スコア:1, 参考になる)

    by Anonymous Coward on 2007年09月22日 15時34分 (#1223138)
    ずいぶん前から更新停止してたなと思って今回久しぶりにサイトに行ったら
    LhaplusUpdater_15x_to_155.exe
    っていうのがあって最初何かと思った。
    このexeにアイコン設定されてないし、ダウンロード失敗してるのかと思ってもう一度落とし直したりした。
    サイトにはそのまま実行すればいいと書いてあったからとりあえず実行してみたら、
    (ここから推測だけど)レジストリの内容を読んでLhaplusの場所を特定し、アップデートするファイルだったのね。
    てっきり最新バージョンのexeが自己解凍になってるだけかと思った。

  • 64bit版 (スコア:1)

    by shn (7678) on 2007年09月22日 16時56分 (#1223160) ホームページ
    64bit版も作って～

    64bit版のVistaなんていれるんじゃなかった･･･　とほほ

  • zipでええやん (スコア:0)

    by Anonymous Coward on 2007年09月21日 22時31分 (#1222823)
    Windowsなら。
    zipに統一しとけば、わざわざ他のソフト頼らんでもすむ。

    • Re:zipでええやん (スコア:2, 参考になる)

      by kacha (13067) on 2007年09月22日 2時44分 (#1222987) 日記
      Windows XPのおかげで ZIP が常識になっちゃいましたね
      2000までは LZH が常識だったのに
      かく言うぼく自信も、必要に迫られるまでLHA解凍ソフト入れなくなっちゃったし

      個人的には、tar.gz にも対応している eo [vector.co.jp]が好きなんですが、こいつは大丈夫なのかな？？？
      シェア
      親コメント

    • Re:zipでええやん (スコア:2, 参考になる)

      by chapati (17656) on 2007年09月22日 11時00分 (#1223075) 日記
      arjを普段は使っていない人でも，「arjを解凍したい」場面ならありうるかも。
      http://www.csdinc.co.jp/archiver/lib/unarj32.html [csdinc.co.jp]
      より引用:
      ARJ と言うフォーマットは一般にはあまり知られていませんが、
      ロータス等の市販アプリケーションのインストーラが使用して
      いるケースが多く、UNARJ32.DLL と言う DLL がウィンドウズ
      ディレクトリーに撒き散らされているケースがあります。
      シェア
      親コメント

    • Re:zipでええやん (スコア:1)

      by Elbereth (17793) on 2007年09月21日 22時56分 (#1222844)
      tar+gzipに統一しておけば、Windowsではちょっと面倒だけど
      Windows以外では楽。

      シェア
      親コメント

    • Re:zipでええやん (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2007年09月22日 1時08分 (#1222953)
      僕はSyQuest派なので

      という定番ボケはもう通じないですかね
      シェア
      親コメント

    • Re:zipでええやん (スコア:0)

      by Anonymous Coward
      Lhaplusは対応形式が複数あって、ZIPにも対応しています。
      他人に渡す時はZIPだけど受け取る形式がZIPとは限らないし、
      たまにテキストにエンコードしたくなる時もあるので便利です。

      • Re:zipでええやん (スコア:0)

        by Anonymous Coward
        zipじゃないものが送られてきた時は「zipにしてくれ」と言ってますが。相手が客であろうと。

        • Re:zipでええやん (スコア:0)

          by Anonymous Coward
          下にも書いてあるけど、rarとかじゃないと
          でかいファイルやネット経由での送り渡しのときzipだとはまるよ。

          • Re:zipでええやん (スコア:0)

            by Anonymous Coward
            でかいってどれくらい？
            数ギガ程度でしくじったことないから、テラオーダー？

            • Re:zipでええやん (スコア:0)

              by Anonymous Coward
              GB単位どころかMB下手をするとKB単位でもネットワーク/物理的にかかわらず
              粗悪な途中経路だと結構簡単に破綻します、尤もこれはzipに限った話ではありませんが。
              最近は解凍ソフト(というかライブラリ?)が
              進化してきて多少のエラーが出ても無視して可能な限り他のファイルは解凍できるものが
              多くなってきているので多少マシにはなっていますが
              再送や環境を見直すというのは言うのは簡単ですが、状況によってはそれが
              許されない場合も多々あるでしょう

              • Re:zipでええやん (スコア:0)

                by Anonymous Coward
                数KBのデータ転送も保証されない環境で何ができるの?

              • 本末転倒 (スコア:0)

                by Anonymous Coward
                他のアーカイバ使いたいがために、通常考えられない状況があたかも頻発するように装ってる。

    • Re:zipでええやん (スコア:0)

      by Anonymous Coward
      とりあえずrarに一票
      RecoveryRecordがついていると信頼性が低いメディアでデータが持ち込まれたときなどにも
      結構復元できるので可能な限りrarを選択して(もらって)ます

      ウチの会社ではWindowsXPはファイル検索が使い物にならなくなるので圧縮フォルダは
      納入後即時OFFです、尤もそれでもWindowsXPのファイル検索は使い物になりませんが

      別スレでLHAは日本ローカルと書かれていましたが、日本初ではあるものの結構海外にも広まりましたよね
      完全に同一かはわかりませんがAWORDのBIOSがlh5で圧縮されていましたし
      • DOSの時代にもDoomなどのシェアウェアもLHAの自己解凍アーカイブで配布されていたと思います。
        解凍時に(C)19xx Yoshiなんて出ていました。
        シェア
        親コメント
      • マイナー好きな自分はたとえ圧縮・展開に時間かかりすぎと言われようとも、RARのRRのような保護のあるDGCA使ってます。

        #昔(FD大活躍の時代)は何でもCABで最大圧縮してました
        #その後の流れで圧縮率のよいもの+レジストリを使わないもの+αでDGCAを知って使い続けてます
      • 自分も仕事でRR使えるメジャーアーカイブとして、rar使うことは良くあります。
        また、分割出来るので、これもまた非常に重宝しています。

        ただ、シェアウェアである(伸張だけなら一応フリー)、互換性が低い(本家でないと最新のDllでも伸張出来ないetc)、
        そのため、自己解凍形式(exe)を使う機会が多くセキュリティ的に宜しくない、といった難点？もありますが・・・。

        ※Windowsのネイティブコマンド(またはLhaplus)を使って、分割する事って出来ます？
        　結合は出来るのに分割出来ないので、専用ソフトは別途必要で相当不便なのですが・・・

    • Re:zipでええやん (スコア:0)

      by Anonymous Coward
      zip は尻が切れるとファイル名一覧すら取れなくなるのがな。
      lha は壊れる箇所まで普通に読めるし、そのまま復旧せずに捨てて良いかの判断もつけやすい。

      とかいいながらもう lha は殆ど使ってないけれど

    • Re:zipでええやん (スコア:0)

      by Anonymous Coward
      ファイル数が多いときに全てのファイルを圧縮・解凍できない不具合があります。

    • Re:zipでええやん (スコア:0)

      by Anonymous Coward
      展開に関してはファイル形式はほとんど意識しなくなったな。
      展開ツールが対応してなければ、ツールが勝手にライブラリを探しに行くし。
      便利な世の中になったもんだ。

      • Re:zipでええやん (スコア:0)

        by Anonymous Coward
        素のWindowsなら「つーる」とやらがなくてもいいんですが。

        • Re:zipでええやん (スコア:0)

          by Anonymous Coward
          へえ、素のWindowsって色んな圧縮形式に対応してたんだ。知らなかったよ。
          わざわざ展開ツール使ってた自分が馬鹿みたいだ。

  • しかし、 (スコア:0)

    by Anonymous Coward on 2007年09月22日 14時08分 (#1223121)
    悪意のあるコードなんぞ、全く出てこなかった。
typodupeerror

「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」