『ＬＺＨ 書庫のヘッダー処理における脆弱性について (2010 年版)』 (MHVI#20100425) について， 4 月下旬に JVN へ報告したのですが， 今日になってようやく返事が来ました。 結果は「不受理。」 「殆ど同じネタでも， ZIP や 7z 書庫では脆弱性情報となり， ＬＺＨ や ARJ 書庫では脆弱性に当たらない」としか解釈できない結果でした。 状況は 3 年半前と変わっていないようです。
これで， 「ベンダー， JVN / IPA 等共に『ＬＺＨ 書庫なんて知らねぇ〜よ』という態度から変わることはない」と判断できましたので， UNLHA32.DLL， UNARJ32.DLL， LHMelt の開発を中止することに決めました。 脆弱性が存在しても放っておかれるような書庫が いつまでも業務目的で利用されるのは嫌ですので。
なので， 現行のバグフィクスくらいはしますが， 64 ビット版や低レベル API 追加版は出ません。 さらに やる気を失ってバグフィクスも面倒になったら告知することになるでしょう。 今は まだ完全停止に至っていませんので。
おそらく， 海の向こうでネタに上るか大きな事件でも発生しない限り対応されることはないでしょうから， (特に団体・企業内で) ＬＺＨ 書庫を使うのは止めましょう。 まぁ， ZIP 書庫ですら 3 年以上経ってから海外でネタに上ったくらいなので， ＬＺＨ 書庫も あと 10 年ほどしたら海外でネタに上るかもしれません。
Jun.4,2010 追記
「『ＬＺＨ 書庫なんて知らねぇ〜よ』という態度」と解釈したのは， ベンダーについては「説明等を行ったあとは 3 年以上梨の礫で対応も行われていない」， JVN / IPA については「『ZIP， CAB， 7z 書庫など， 脆弱性情報として公開されている同様のケース (対策ソフト等で検疫が行われない不具合：JVNVU#545953。) と何が異なるのか？』といった質問に対して未回答だった」， といった経緯からです。 不受理とした理由が 3 年半前と同じ (「それは脆弱性ではなく， ソフトの機能・性能の問題」という理由。) であるのなら， 書庫が異なるだけの違いでしかない JVNVU#545953 を公開するのは論理的に破綻しています。 一方， 異なる理由が ちゃんとあるのであれば それを説明できるはずですし， 出来ないのであれば それはもはや「ＬＺＨ 書庫だから」といった理由しか残らないことになります。
よもや， 「CVE で採用された事案 (CVE-2010-0098) は公開するが， 国内からの情報提供は受理しない」といった寒いケースではないことでしょう…「ないと思いたい」です。 もしそうなら存在価値ゼロですから。
何かアホらしくなってしまいましたので， 現在調査中だった 2・3 のソフトの脆弱性 (攻撃可能なもの。) については調査の継続 (と言いますか実証データーの作成。) も報告するのも止めました。 自衛だけしておいて， あとは何時か何処かで誰かがネタに上げてくれることを期待することにします。
文中で頻繁に出てくる「JVN」とは何かというと、「日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供し、情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト」のことで、同じく文中で頻繁に出てくる情報処理推進機構、略して「IPA」などが運営しているもの。
確かにＬＺＨ形式はZIP形式のようにWindowsXP以降で標準サポートされたりはしておらず（圧縮フォルダでZIP形式だけでなくＬＺＨ形式も扱える追加機能は2005年4月から一応提供はされている。また、Windows7は追加インストールなしでＬＺＨ解凍のみ可能）、XP以降のWindowsしか知らない人にとっては「ＬＺＨ？なにそれ？どうしてZIPじゃないの？」というような感じなのかもしれませんが、日本のソフトウェア配布サイトとして有名な「窓の杜」や「Vector」では、今もＬＺＨ形式で圧縮されたファイルが多数配布されており、確かに日本のローカル圧縮形式かもしれませんが、無視して良いレベルの普及率ではありません。
それどころか圧縮解凍ソフトとして有名なソフトはそのソフト名からして「ＬＺＨ形式」を前提にしているものが多数あり、窓の杜収録ソフトではＬＺＨ形式の圧縮とアーカイブを行う「 LHA」の名前を冠したものが今も多くあります。 「Lhasa」、「ExpＬＺＨ」、「Lhaplus」、「LhaForge」、「+Lhaca」がその一例です。
懐古主義的になりますが、昔はＬＺＨ形式の方がZIP形式よりも圧縮率が優れていることが多く、ハードディスクが「大容量2GB！」とかいう時代には少しでも空き容量を稼ぐため、そしてダイヤルアップのテレホーダイが全盛期だった頃には毎秒数キロバイトという速度だったのでやはりファイルサイズを少しでも減らして通信を一刻も早く終わらせるため、「ＬＺＨ形式」が重宝された時代があったわけです。それがこのような形で開発中止、使用中止のおしらせ、というようにしてひとつの時代の終焉というか、絶滅を目撃することになるというのは、なんとも言えない気持ちです。
http://gigazine.net/index.php?/news/comments/20100607_lzh_end/
オジサンはＬＺＨ型式の圧縮解凍ソフトをＤＬＬファイルなどない時代から今でも使い続けているぞ！
もちろんセキュリティーなんて概念のない時代の産物と言えばそれまでだが、
暗号化は別の専用ソフトを使えば済む話。
そしてＬＺＨ型式をサポートする圧縮解凍ソフトは多くのプログラマー達が腕を競うように作ったもので、
この記事に出てきた作者もそうした中の１人に過ぎないことを古いＰＣユーザーは知っている。
しかし、そうしたことを知らない人が上記の記事を鵜呑みにすると
著作権を持つ他の作者の存在を無視した決定事項と受け取られる危険な思考誘導を受けてしまう。
この作者のソフトは他のソフトと共に使われる『拡張機能』に過ぎず、圧縮解凍ソフト本体ではない！
そんな他社の寄生したソフトの一作者が「ＬＺＨ 書庫を使うのは止めましょう」と呼び掛けることで
ＬＺＨ型式の使用中止へ話を持っていくのは何らかの意図的誘導と疑ってしまう。
| ＬＺＨ型式が日本国産の圧縮方式であり |
| 日本国産ソフトを潰そうとする意図が働く。 |
| しかし、 |
| 政府主導の国産ソフトは潰せても |
| 個人プログラマー達に支えられたソフトを |
| 駆逐することはできない！ |
そしてＯＳの世代を越えた普及率の高さは利用者にとって個人ごとの 使いやすさも異なってくる。
そもそも『ＬＺＨ書庫』を使わない者にはどうでもいい話なのに、
| ＬＺＨ型式終了のお知らせ |
| と、誤解してしまった時点で完全に記事に扇動されてしまう |
| 見出し記事で誤解させるとんでもない記事だ。 |
| ＬＺＨ型式はまだまだ使い続けられます！ |
…そう言えばオジサンの仕事用ＰＣに入れてあるｚｉｐファイルで
通常の『解凍処理』では問題なく解凍できるにも関わらず
『書庫として開くとフリーズする』トラップを仕掛けてあったっけ(´∀｀)
|
コメント（3）
