×××××スレ立て依頼所×××××

圧縮ソフト「Lhaz」に脆弱性

　日本で人気の圧縮・解凍ツールを狙ったゼロデイ攻撃がまた発生した。今回は、
フリーツール「Lhaz v1.33」の脆弱性を悪用したターゲット型攻撃が仕掛けられたという。
セキュリティ企業のMcAfeeとSymantecが8月17日のブログで伝えた。

　McAfeeによると、この攻撃には細工を施したZIPファイルが使われ、Lhazの脆弱性を悪用して
トロイの木馬に感染させる仕組みになっていた。脆弱性の詳細は不明だ。

　Symantecによれば、問題は「.tgz」の拡張子が付いたファイルにある。感染するとバックドアが
開かれることから、感染マシンを完全に制御する狙いがあることは明らかだとしている。なお、
20日時点で修正プログラムなどは公開されていない。

　日本で人気の圧縮・解凍ツールをめぐっては、6月にも「+Lhaca」の未パッチの脆弱性を突いた
ゼロデイ攻撃が発生している。

　こうしたフリーツールは市販のツールほどは広く普及しておらず、比較的安全と思われがちだと
McAfeeは指摘。しかし、ソフトはフリー、オープンソース、商用を問わず、どんなOSでもどんな言語
でも同様にセキュリティ攻撃の対象になることが、今回の攻撃で示されたとして警鐘を鳴らしている。

http://www.itmedia.co.jp/enterprise/articles/0708/20/news016.html