【IT】国産圧縮ソフトにまた脆弱性、今度はzipも[09/05]

情報処理推進機構（IPA）のセキュリティセンターおよびJPCERT/CCは9月5日にオープンソースの
Windows向け圧縮・展開ライブラリ「7-ZIP32.DLL」にバッファオーバーフローの脆弱性があると発表した。
7月30日にIPAが届け出を受けたもので、その後、開発者と調整してすでに修正バージョンが公開されている。
7-ZIP32.DLLは、7z形式やzip形式などのファイルの圧縮・展開を行うライブラリで、バージョン4.42.00.03
およびそれ以前のものに脆弱性が確認されている。作者の秋田稔氏によれば、非常に長いファイル名の
ファイルを含んだ書庫の格納ファイルのリストを取得、あるいは解凍する際に、深い再帰呼び出しが発生して
スタックバッファオーバーフローが発生し、その後、ヒープバッファオーバーフローが発生し、書庫に
仕込まれた不正なコードを書庫の操作で実行される可能性があるという。

@IT　http://www.atmarkit.co.jp/news/200709/05/jpcert.html
プレスリリース　http://jvn.jp/jp/JVN%2362868899/

↓禁止

やらないか

今日のエロマンガうｐスレはここですか？

WinRAR使わない香具師は全て脆弱

圧縮しない奴が最強

ZIPでくれ

危ない外国せいひんも列記せよ。

なるほど・・・う〜む、これは　?　何の話だ？

そんなDLLは誰も使ってない

zipも貼らずにスレ建てるな

また冷凍コロッケの偽装問題か？

>>10
他の有名書庫に同梱されてる。
かなりの人が対象になるはず。

　　　　念のため、コロッケを１６個買ってきました。
　　　　もう３個食べてしまいました。

圧縮しなくても不便を感じないな

ｐｄｆもやべえのか？
画像をzip圧縮してるのあるよね

ksk

rarでくれ

三行にまとめて

７−zipって日本のもんだったの？

zipでくれ
XPってzip標準装備だけどどうなの？

つか、圧縮ソフトは、もはやPCインフラと言っても良いくらい重要なものだから、きちんとしたところが作るべきじゃないか？
個人が作ったフリーソフトが乱立している状況ではまさに玉石混淆。
ある程度知識がある奴は善し悪しが分かるとしても、普通の人には分からない。
圧縮・解凍は今や必須だから考え方を変える必要があるかも知れない。

オタが作るとこうなる

どんなソフトも突っつけば出るもの。
見つからないのはマイナーなだけ。

これからのトレンドは以下の通り
ishでくれ
yz1でくれ
gcaでくれ
aceでくれ
arjでくれ
bgaでくれ

MS製品ばっか狙われてるがフリーなソフトで流行ってるものの脆弱性ついたほうが楽なんじゃないの

生でくれ

>>22
zlibでいいだろ。

>>1
日本語でおｋ

　　　　　　　　　　　　　　 l三｀ｰ ､_;:;:;:;:;:;:j;:;:;:;:;:;:_;:;:;_;:��-三三三三三l
　　　　　　　　　　　 　　 l三　 r＝ﾐ''‐--‐';二,_￣　 　 ,三三三彡彡l_　　　
　　　　　　　　　　　　　　lﾐ′　 ￣　　　　ー-'"　　　 '＝ミﾆ彡彡/‐､ヽ
　　　　　 　 　 　 　 　 　 l;l　 ,_-‐ 、　　　 __,,.. - ､ 　 　 　 彡彡彳､.//
＿＿＿＿＿＿＿∧,､＿‖　`之ヽ､, i　l´ _,ｨ辷ｧ-､、　　　彡彡'r ノ/＿ ＿_＿＿＿_
￣￣￣￣￣￣￣'`'`￣　1 　 　￣ﾌ/ｌ　l::. ヽこ~￣　　　　 彡彳~´/ ￣￣￣￣￣￣
　　　　　　　　　　 　 　 　 ヽ　　　´　:l　.l:::.　　　　　　　　　彡ｨ-‐'′
　　　　　　　　　　　　　　　 ゝ、　　/ :.　 :r-､　　　　　　　　彡′
　　　　　　　　　　　　　 ／ ｨ:ﾍ　　｀ヽ:__,ｨ='´　　　　　　　　彡;ヽ､
　　　　　　　　　 _,,..-‐'7　/:::::::ヽ　　　_: :_　　　 ヽ　　　 　 ｨ´.}::ヽ ヽ、
　　　　　　_,-‐'´　　　 {　 ヽ:::::::::ﾍ ｀'ｰ=＝=ｰ--　'　　　／ﾉ /::::::ﾍ, ヽｰ､

おお、７ZIP！！

tarでくれ

.tar.ｇzでくれｗ

7upまだあるんだな。

>>13
他の有名書庫って何？
具体的におしえてくれ

俺のらるち〜フォルダにはUNZIP32.DLLというのがあるが、これなら大丈夫なのか。

bmpがサイキョー

7zってほとんどエロゲ画像専用だよな。

正直このソフト知らなかった・・・

cldxなんてあったな

有名アーカイバならともかく、有名書庫に同梱って。w

スタックバッファオーバーフローが発生しその後ヒープバッファオーバーフローが発生し

俺の肛門もバッファオーバーフローしそうです。

これからは.tarか.tar.bzでうｐでおｋ

深い再帰呼び出しならスタックバッファオーバーフローじゃなくてスタックオーバーフローだな、

7zip日本製だったのか

sitはわしが育てた

ういんらー

winrarを金払って使ってる俺は勝ち組

ちょっとそんなことより聞いてくれよ
NiftyのQLDなんだけど
BS処理って何

ここは発想の転換だろ、膨張ソフト使えばいいんだよ。
100KBのファイルが100MBに早変わり。

なんだ、もう修正されてるのか

zipって国産なのかよｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

DjVuをお忘れなく。

世界で一番zip使ってる国じゃないだろうか･･･
変態国家

よくよく考えれば、市場ができる世界だよなあ。

とりあえず久しぶりにcaldix起動

00.04にうｐぐれーどした
つうかいっこまえのヴぁーじょんかよ
これやばいんじゃないの？

そりゃヤバイから修正版がリリースされてから発表になったんでしょうが。

さくっと統合アーカイバでdll入れたけど国内開発者のリスク管理の無さは異常だろ

.sit

ｼﾅﾁｮﾝクラッカーがおちょくってるんだな

わかりにくい記事だな。
この脆弱性があるライブラリを含んだソフトがなにかわからないと意味ないんじゃないのか。

>>63
くまくま

caldixで一発VerUPだぜ

な、なんだってー

報告者UNYUNか

オイラの使ってるLhaplusは大丈夫なの？

麿涙目ｗｗ

脆弱な坊やWWW

7Zipって海外製かと思っていた。
同じ国産でもあの+Lhacaとは比べ物にならんほど
良い出来だな。

さっきｃなんとかで自動でやってみたがきじゃくせい有りの旧ばーじょｎしか落ちてこなかったぞ

これ本当に国産なの？ほとんど7zipなんじゃねーの？
朝鮮人みたいだな。

7zip自体はIgor Pavlovってアメリカ人が作ったんじゃね？
7zip32.dllを作ったのが日本人ってだけで・・・

>>71
7-ZIPは国産ではないよ。
7-ZIP32.DLLは一応国産。

7zipの仕様どおりに日本人が作った7-zip32.dllに脆弱性があっただけのことだろ
@ITの記者の頭が悪い

.7z 書庫 統合アーカイバ仕様圧縮解凍 DLL
ttp://www.csdinc.co.jp/archiver/lib/7-zip32.txt

＞ これは Igor Pavlov 氏が開発し、高圧縮率で一部の人に支持されている
＞ 7z 形式の書庫の圧縮解凍及び、他の zip 互換プログラムより少しだけ
＞ 圧縮率の高い zip 書庫を作成することが可能です。

「一部の人に支持されている」にワロタｗ

http://www.hpsart.net/download_page/vacuumbed/dlvbh-01/dlvbh-01.jpg

>>73
http://www.csdinc.co.jp/archiver/lib/7-zip32.html
7-zip32.dll は GNU Lesser General Public License に従ったフリーソフトで、ソースコードは同梱されています。
ただし圧縮・解凍の本体部分は含まれていません。7-zip のサイト（http://www.7-zip.org/）から入手してください。
7-zip ファイルの圧縮、解凍の基本部分の著作権は Igor Pavlov 氏にあります。
7z 圧縮方式の BZip2 アルゴリズムはJulian Seward 氏が作成し、
PPMD アルゴリズムは Dmitry Shkarin 氏が作成しています。
7-zip32.dll つまり統合アーカイバ仕様の DLL 作成部分に関しては秋田 稔氏が著作権を保有します。

>>77
普及率がほぼすべてだからな。

けど普通のZIPで60MBになるファイル群が7zだと47MBとかまで縮むことがあるし、
テキストの圧縮ではPPMDに並ぶものはないよ

き、脆弱性・・・

解凍の軽さとそこそこの圧縮率をほこるBzip2はだれも見向きしないのか

>>82
単体じゃファイル1個ずつしか圧縮できないから。

>>82
UNIXも使ってるから自分は tar + Bzip2 が多い。
sitxも使ってるけどこれは主にMacとWin用。

zipはファイル名の文字エンコードが規格化されて
いないから、化ける危険性が有るのが難。

tar.bz2使ってるお

やはり解凍レンジが最強か

7-ZIP良いよ。zipと7z形式を使い分けられる。
ｒｒさえ付けば、rarと互角に戦える筈なんだ！むしろ若干優位？

スタックオーバーフローで不正なコードを実行されるというのがよくわからない
エラーで止まるだけじゃないの？

ヒープの差が激しくなっているからな。

(´･ω･`)……も…脆弱性

　　ま　た　日　本　人　か　！！！！


　　Winnyといい、日本人の作るソフトは脆弱だな。

>>91
nyは東大生だけど、日本人じゃねーから。

winの圧縮は糞ばっか
LHAは優秀だったけどな
圧縮率ばかりに目を向けすぎなんだよドザは

lhasaとwinRARがあれば事足りる

>>92
東大生だっけ？助手じゃなかった？

>>93
lhaはドザの、ドザによるドザのための圧縮ソフトだったわけだが。

　　 ／￣￣＼　　　　　　　　　　　＿＿＿
　／　　 _ノ　　＼　　　　　　　　／⌒　　⌒＼
　|　　　 （ ０）（０）　 グサッ 　 （＠ ）　 （＠ ） ＼　　
.　|　　　　 （__人_(ニ~`ヽ、 ／:::⌒（__人__）⌒:::::　＼　　　どさ(imacユーザ）うるさいど。
　 |　　　　　｀ ⌒´(((_⊂>ヽ|　　　　 |r┬-|　 　　　　|　　　windowsにしっとするなよ。。
.　 |　　　　　　 　 }　　　 ＼ ＼　　　`ー'´ 　　 　 ／
.　 ヽ　　　　　 　 }　　　　　 ゝ-|　　　　　　　　　　ヽ
　　 ヽ　　　　　ノ　　　 　　　　＼　　　　　　　　ヽ 　 ＼
　　　/　　　 く　　＼　　　　　　　 ＼
　　　|　　　　 ＼ 　 ＼ 　 　　　　　　＼
　 　 |　　　　|ヽ、二⌒)､　 　 　　　　　 ＼
　　　グッサロ　　　　　　　　　　　　　　　　　　　つくぞう
　ＭＡＣってだれもしらないからだからジャネ。食い物だと俺も思ってた

>>88
スタックオーバーフローで不正なコードを実行するのは確かに非常に難しい。
とは言えメモリを破壊する訳だから絶対とは言い切れない。
問題はその後に起きるヒープバッファオーバーフロー。
これもこの問題が有るからと言って即危険と言う訳じゃなく他にもある程度条件は必要だが
その条件を満たすことは多く結構危険。
>1にはスタックバッファオーバーフローと間違えてかかれているが
これは非常に危険で、簡単に任意のコードを実行させる事が出来る代物。

こういうややこしい脆弱性を年中探し回ってはコード仕込んでる
超絶ヒマな悪人って本当にいるのか？

>>90
もろよわせいってもの凄く弱そうｗ

２ｃｈねらーが集まって圧縮ソフトでも造ってみれば？

>>99
exploitだっけ？そのサイトで漁れば良いだけ

きじゃくせいか

脆弱性を見つけるとお金になりつつある時代

内部で見つかったり良心的な人はこっそりバグを修正するよう教えてくれる

一部には脆弱性とそれを攻撃するツールを作って、開発元を脅迫して
お金を要求する専業の企業も出てきた
オークションでも売買されている。
彼らの言い分としては、見つけるのにも金がかかるし、
未知の脆弱性を未然に教えてあげることは役に立つ

脆弱性自体はOS、サーバークライアント問わずさまざま

攻撃コードはググれば奥の方でヒットするし、言語を理解していなくても
攻撃するツールは売っているし、それの海賊版も出回っている

最近はパッチ当てもれの複数の既知の脆弱性を一斉に攻撃するのが流行り。

サーバーも攻撃対象にして、個人情報盗んだり、
正規のサイトを感染させてホムペ閲覧者に感染させたりするのも流行り。

脆弱性を利用した攻撃目的は昔は愉快犯や知識の自慢だったが、
今は完全に個人情報ぬすんで金銭犯罪

なんでもかんでもネットにつなげればいいという風潮には反対
今は安全でも、一獲千金のために血眼になって探している
絶対に安全なものなんてない
莫大な金を投資してセキュリティに金をかけている
国防省ですら漏洩しているのに、数十万円以下の民生品ならなおさら。