「Lhasa」と「Lhaplus」に脆弱性--任意のコードを実行される可能性

 情報処理推進機構セキュリティセンター(IPA/ISEC)とJPCERT コーディネーションセンター(JPCERT/CC)は10月12日、「Lhasa」と「Lhaplus」に脆弱性が確認されたと「Japan Vulnerability Notes(JVN)」で発表した。

 竹村喜人氏が提供するLhasaは、LZHとZIPの形式で圧縮されたファイルを展開するソフトウェア。0.19以前のバージョンに、実行ファイルを読み込む際のファイル検索パスに問題があり、意図しない実行ファイルを読み込んでしまう脆弱性が存在する。

 Schezoが提供するLhaplusは、複数の圧縮ファイル形式に対応した圧縮・展開を行うソフトウェア。1.57以前のバージョンに、DLLを読み込む際のDLL検索パスに問題があり、意図しないDLLを読み込んでしまう脆弱性が存在する。

 これらの脆弱性により、ともにプログラムを実行している権限で、任意のコードを実行される可能性がある。2つとも脆弱性を解消した最新版が公開されており、該当するユーザーは最新版へアップデートするよう呼びかけている。

CNET Japanの記事を毎朝メールでまとめ読み(無料)

-PR-企画特集

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]