圧縮解凍ツールに脆弱性が発覚、対策はバージョンアップ！

　圧縮解凍ツールで知られているLhaplusに脆弱性が発見された。発見された脆弱性は、バッファオーバーフローとよばれる古典的な手法。既にアップデートが公開されているので、新規ダウンロード、または、アップデートすることで無償で対応することができる。

圧縮解凍ソフトが数多くダウンロードされている

　圧縮解凍ソフトウエアは、インターネットからダウンロードされるソフトウエアの中で人気が高い（ダウンロード回数が多い）。多くがフリーソフトウエアやシェアウェアであり、知られているソフトウエアであれば、悪意のあるコード、脆弱性は含まれていないと思っていないだろうか。

　しかし、過去に幾つもの脆弱性が発見され、バージョンアップが行われており、今回のLhaplusも、その一つに過ぎない。商用ソフトウエアであれば、利用者を保守情報として把握しており、脆弱性が見つかったら、修正プログラム、サービスパック等の脆弱性対処ソフトを教えてくれる。

　ところが、圧縮解凍ソフトの場合、利用者を開発者は特定できないし、まして、利用者が再び、ダウンロードするサイトにアクセスする事は稀だ。なぜなら、通常の圧縮解凍処理だけなら問題が生じないからである。だからといって、安全である保証はない！

ソフトウエアに脆弱性を含めないために

　開発側に脆弱性のあるコーディングに対する知識が欠落している事を指摘する人がいる。まぁ、作る側がしっかりすれば、脆弱性が顕在化することもなかったのだから、そのような考え方もあるだろう。

　しかし、理由はそれだけではない。ソフトウエアを逆アセンブルして脆弱性を探し出し、報酬を得るビジネス存在する。日本でも上場している情報セキュリティ会社の研究部門では、発見された脆弱性に対して報酬を払っていることは、よく知られている。最近では、ソフトウエアの処理をチャート化し、脆弱箇所を特定しやすくするリバースエンジニアリング製品も登場してきている。売った後で、一定期間（契約によって異なる）を過ぎたら、偶然を装ってセキュリティ機関や開発者に知らせても良いし、逆に自分だけの秘密にすることもできる。そして善意の報告者であるのか、悪意の報告者であるか、開発側では識別が難しい。両者が存在するというのが正直なところだ。

組織は何をすべきなのか

　奇妙な商売がインターネット上に存在することから、ソフトウエアの穴は今後数年は暴露されることになることが予想できるだろう。開発する側だけに脆弱性に関する情報が足りない事実を改善しなければ安全なソフトウエアは作れない。リバースエンジニアリングに関しては、以前にも書いたが、普通のソフトウエア開発者は専門的な知識を身につけていない。まして、教育機関でも教えているところは少ない（私が教えている大学は別）。その結果、脆弱とは知らずにコーディングしてソフトを市場に出してしまうのである。よって、開発者だけを責めるのは残酷ではないか、と考えるようになった。ただし、あるP2Pソフトのように開発者が脆弱性を知っておきながら、色々理由をつけて、故意にバージョンアップしない場合は別であり、その場合は開発者に責任があるのは言うまでもない。

脆弱性探査人の行動パターン

　脆弱性探査人の行動パターンを統計的に調べてみたところ、興味深いのは、同じタイプのソフトウエアに潜在化している脆弱性を続けて公表する傾向があるということだ。例えば、画像処理に脆弱性があれば、画像ソフトの脆弱性を次々と見つけ、商売にしていく。古典的な脆弱性であれば、発見しやすく、その検証に使用する攻撃コードがそのまま使えるのが大きな理由のようだ。

フリーソフトウエアを利用するなら定期的な点検を

　脆弱性が国内外でデータベース化され、利用されるようになっているが、過去のソフトウエアの脆弱性を見ても意味はない。新しいフリーソフトウエアについては、少なくとも１ヶ月毎にバージョンアップの有無をチェックすることをお勧めしたい。企業の中には、社内で使用するフリーソフトウエアを届出制にして、担当者がバージョンチェックを行っている企業もある。そうでもしなければ、フリーソフトウエアを経由した攻撃を防御することは難しい。

最後に
　最近、面識はたぶんない（と思う）某国陸幕のある方から原稿のメールが時々届くようになった。某国の軍関係のドメインからメールが発信されて（偽装されている可能性は高い）、原稿らしき添付ファイルが張り付いてある。それが圧縮形式のファイルなのだ。国防機密の文書なので圧縮ソフトでつい開いてしまう誘惑を考慮しての悪意のあるプログラムが入っていると推測している。でも、単なる誤配信であったら、知らせてあげるべきか、、、悩むところだ。

お詫び
　この数ヶ月、情報セキュリティの訓練、情報セキュリティの授業等で、音信不通になっており、失礼しました。現在、F#でセキュリティソフトの開発に従事しています（プロジェクト参画の間）。今後、復帰いたします。