圧縮・解凍ソフトの脆弱性をめぐる深層

Lhaplusの脆弱性

　10月15日、「Lhaplus」に関する脆弱性情報（JVNDB-2010-000039）が公開された。Lhaplusは、（LZH形式を含む）さまざまな圧縮フォーマットのファイルに対応した、圧縮・展開の定番フリーソフトである。

　Lhaplusは、多数のフォーマットの圧縮ファイルを展開するため、対応するフォーマットによってさまざまなプログラムをしかるべきフォルダ（ライブラリなど）にインストールしており、Lhaplusからの指令で適切なプログラムが起動される。

　プログラムの起動はファイル名によって指定されるが、一般的なOSは、起動するプログラムを検索するフォルダについて、一定のルールを持っている。その名前のプログラムが存在するかどうかを決められたフォルダ順に検索していき、最初に見つかったプログラムを実行するというわけである。同じ名前のプログラムが検索パス上に複数存在していても、実際に起動されるプログラムは、パス上で最初に見つかったものになる。

　以上のような前提のもと、このルールを悪用して、悪意のあるプログラム（マルウェア）を起動する、というのが今回の脆弱性の骨子である。