「Lhaplus」にまたバッファオーバーフローの脆弱性

ファイル圧縮・解凍ツール「Lhaplus」に、不正なコードを実行されるバッファオーバーフローの脆弱性が新たに見つかった。修正版がリリースされている。

[ITmedia]

　フリーのWindows用ファイル圧縮・解凍ツール「Lhaplus」（ラプラス）に悪意のあるコードを実行されてしまうバッファオーバーフローの脆弱性が見つかったとして、情報処理推進機構（IPA）セキュリティセンターおよびJPCERTコーディネーションセンター（JPCERT/CC）は11月22日、JVN（Japan Vulnerability Notes）に情報を公開した。

　今回明らかになったのは、LhaplusでLZH形式のアーカイブファイルを取り扱う際のバッファのチェックが適切でないため、任意のコードを実行されるバッファオーバーフローの脆弱性。ユーザーが細工されたLZHファイルを展開すると、ファイル処理を行ったユーザー権限で意図しないプログラムコードを実行される恐れがある。

　この問題の影響を受けるのは、バージョン1.55およびそれ以前のバージョンのLhaplus。作者（Schezo氏）は脆弱性を修正したLhaplus バージョン1.56を公開、IPAでは最新版へのアップグレードを呼びかけている。

　Lhaplusにおいては、9月にARJ形式の圧縮ファイルを展開する際のバッファオーバーフローの脆弱性が指摘されており、その後修正されたが、今回見つかったのは別の問題となる。