データ圧縮ライブラリ「zlib」に脆弱性--広範な影響のおそれ

　幅広く普及しているデータ圧縮技術にセキュリティ上の欠陥があり、多くのソフトウェアプログラムが攻撃を受けるおそれがあると、専門家らが注意を呼びかけている。

　セキュリティ監視会社のSecuniaが米国時間7日に出した警告によると、オープンソースの「zlib」コンポーネントにバッファオーバーフローを引き起こす脆弱性が存在するという。この脆弱性には、攻撃者が特別に用意したファイルを使って、コンピュータを乗っ取ったり、zlibを利用するアプリケーションをクラッシュさせたりするおそれがあると同社では説明している。

　zlibは、数多くのオープンソース／プロプライエタリアプリケーションでデータの圧縮／解凍に利用されており、また多くのLinuxやBSDディストリビューションに同梱されている。コミュニティベースのオンライン百科事典「Wikipedia」によると、zlibは「ほぼデファクトスタンダードに近い」技術だという。

　Gentoo Linuxのセキュリティ監査チームのメンバーで、この脆弱性を発見したTavis Ormandyは、電子メールでインタビューに答え、「zlibは、Xboxから携帯電話やOpenSSHまで、ほとんどすべてのもので利用されており、潜在的な影響はかなり大きい」と述べている。

　Secuniaによると、この欠陥はzlibのバージョン1.2.2で報告されているが、それ以前のバージョンにも影響があるかもしれないという。

　Secuniaはこの問題の深刻度を上から2番目の「極めて深刻」に分類しているが、これはこの脆弱性を突いた攻撃がまだ確認されていないためだ。一方、French Security Incident Response Team（FSIRT）では、この脆弱性を最も深刻な「重大」に分類している。

　セキュリティベンダーiDefenseのMichael Suttonによると、この脆弱性は多くのアプリケーションに影響を与える可能性があるが、潜在的な影響の大きさを推測するのは容易ではないという。

　「同ライブラリの実装方法によって悪用されるレベルも変わってくるため、zlibを使っているアプリケーションがすべて無防備だとは仮定できない」（Sutton）

　Ormandyによると、この脆弱性を悪用して被害者のデバイスやコンピュータ上でコードを実行するのは容易なことではないが、ただしアプリケーションをクラッシュさせるのは難しくないという。「zlibを使う画像やブラウザからバグを利用することには何度か成功している」（Ormandy）

　zlibを共同開発したMark Adlerは、CNET News.comへの電子メールのなかで、この脆弱性を取り除くため、同ライブラリのアップデート版となるバージョン1.2.3のリリースに向けて、現在開発とテスト作業が進められている、と述べている。

　Secuniaのウェブサイトによると、Suse、Red Hat、Gentoo、Ubuntu、Mandriva、Debianなど、複数のLinuxに対応するパッチが既に公開されており、FreeBSD用のアップデートも入手可能だという。

　Microsoftの関係者は、同社がまだこの問題の調査を進めているところだと語った。「初期の調査では、現在サポートされているWindowsの各バージョンには、この脆弱性の危険がないことが判明している」（Microsoft関係者）

　zlibの開発グループは、同コンポーネントを利用するアプリケーションの一覧をウェブサイトで公開している。これを見ると、Microsoftは、Office、MSN Messenger、Internet Explorerなどのプログラムでzlibが使われていることが分かる。

　zlibの欠陥は、これまでにも何度か明らかになったことがある。昨年にはDoS（サービス拒否）の脆弱性が報告されており、3年前にはそのメモリ管理機能の問題によるリモート攻撃の可能性が懸念されていた。