Sony BMGのrootkit対応プログラムにより大きなセキュリティーホール

shesee 曰く、

プリンストン大学のEd Felten教授が自身のブログFreedom to Tinkerで明らかにしたところによると、Sony BMGが提供するコピーコントロールディスク問題の対応プログラムは、リモートからPCを操作可能な危険なコードを含むとの事です。
Sony BMGは問題のコピーコントロールディスクのリコールを決め、数日中に対応を公表すると発表しました。

Sony BMGが販売するFirst4InternetのXCP技術を使用したコピーコントロールディスクは、rootkit応用技術を使用しており、それ自体セキュリティーリスクになります。
さらにSony BMGが問題の対応としてWebからアナウンスしてるWebベースの対応プログラムはAcitiveXで作成されており、所定の動作後もPC上に残されたままです。
このActiveXはリモートから所定のコードをダウンロードして動作しますが、コードのダウンロード先の検証を行っておらず、任意のURLからコードをダウンロードして動作可能です。

このアンインストールプログラムはXCP技術同様、First4Internetが作成したと見られており、XCP技術がWindowsAPIから隠蔽するファイルやレジストリを顕在化しますが、XCPのコード自体はアンインストールしません。