Winnyの脆弱性は深刻、リモートからのコード実行につながる――eEyeがアドバイザリ

[ITmedia]

　米eEye Digital Securityは米国時間の4月21日、P2P型ファイル共有ソフト「Winny」に存在する脆弱性に関するアドバイザリを公開した。

　4月21日には、JVN（Japan Vendor Status Notes）や情報処理推進機構（IPA）が、Winny 2.0 b7.1およびそれ以前のバージョンにバッファオーバーフローの脆弱性が存在するとし、情報を公開していた。ただしこれらの公開情報では、バッファオーバーフローの結果どういった被害につながるかまでは確認されていなかった。

　脆弱性の発見者であるeEyeのアドバイザリによると、この脆弱性はリモートから任意のコードを実行されるおそれがあり、緊急性は「高」だ。

　Winnyのファイル転送ポートのコマンドの1つに、入力値の長さが未チェックとなる関数が存在する。細工を施されたデータを受け取るとヒープオーバーフローが発生し、任意のプログラム、例えばウイルスなどの悪意あるプログラムをWinnyが稼働している権限で実行される恐れがある。

　eEyeではこの脆弱性を悪用して実際にコードを実行できることを確認したという。「この脆弱性は一般的なヒープオーバーフローであり、悪用は容易だ」(同社のアドバイザリ）

　なおeEyeが脆弱性を発見し、IPAに届け出たのは3月22日のこと。しかし、4月11日にはIPAを通じて作者側から「（脆弱性を悪用しての）コードの実行は不可能」という回答が返ってきたほか、4月16日にはIPAから「諸般の都合によって、作者はこの脆弱性を修正することができない」という連絡があったという。