ソニーBMG、「rootkit」CDのリコール発表--別のセキュリティ問題も発覚

　ソニーBMG（以下、ソニー）は米国時間15日、数百万枚のCDをリコールすることを明らかにした。これらのCDをPCで再生すると、そのコンピュータに深刻なセキュリティリスクが生じる可能性がある。

　ソニーによると、Van ZantやNeil Diamondの最新アルバムをはじめとする18以上のタイトルについて、同社は販売済みCDの交換に応じるという。同社はまた、CD交換プログラムの詳細を「まもなく」公表することも明らかにした。

　ソニーが明らかにしたところによると、同社は「XCP」と呼ばれるコピー防止技術を組み込んだCDを過去8カ月間に470万枚以上出荷しており、そのうちの210万枚以上が販売済みだという。

　同社は「XCPコンテンツ保護ソフトウェアが組み込まれたCDに対する消費者のみなさまのご心配は十分理解しています。消費者のみなさまには、対策として交換プログラムをご用意し、同ソフトウェアが組み込まれた未販売分のCDについては、すべて小売店から回収します。お客様にご不便をおかけしましたことについて深くお詫び申し上げます」とする声明を発表している。

　同社によるこの発表は、CDの危険性が先週明らかになってから2度目の正式な謝罪となるが、この発表の直前には、セキュリティ研究者らがXCPソフトウェアに他にも危険な欠陥が複数存在することを明らかにしていた。

　プリンストン大学でコンピュータ科学を研究するEd Felten教授は15日、ソニーが提供していたアンインストール用ツールによって、コンピュータに深刻な脆弱性が生じるおそれがあることを仲間とともに確認した、と自身のブログに記している。このウェブベースのツールは、ソニーのCDが残していくコピー防止用ソフトウェアをアンインストールする目的で同社が最初に提供していたものだ。

　このツールは、ウェブサイトからの命令をユーザーのハードディスクに受け入れさせるプログラムをダウンロードするが、ソフトウェアをアンインストールする指示を受けた後でもPCのハードディスク上にアクティブな状態を続ける。そして、悪質なものも含め、どのウェブサイトからのどのような命令を受けても動作してしまうと、プリンストン大学の研究者らは説明している。

　Feltonと、一緒に研究するJ. Alex Haldermanは「どのウェブページからでもコンピュータを乗っ取ることができてしまう。何でも好きなことができてしまう。これ以上深刻なセキュリティ上の欠陥はない」とブログに書き込んでいる。

　ソニーはその後、このウェブベースのアンインストール用ツールを、ダウンロードして使う別のプログラムと差し替えた。こちらは、ウェブサイトから命令を受け付けるのではなく、なかに命令が組み込まれている。Feltonらによると、新しいプログラムは安全なようだという。

　Feltonらのブログには、最初のツールを使ってしまった人向けに、ソニーのコンポーネントを削除するための方法が記されている。