+Lhaca デラックス版 Ver 1.20に脆弱性(追記アリ)

「+Lhaca」に任意のコードが実行されるパッチ未提供の脆弱性、Symantecが公表 - 窓の杜
米Symantec Corp.のBlogによる記事はココ。

+Lhaca(らか)デラックス版 Ver 1.20(以降、特に断りが無ければ「+Lhaca」と表記)に、特定の細工が施されたLHA形式書庫ファイル(*.lzh)を +Lhacaで開こうとすると、+Lhacaが強制終了したり、ウイルスなどの任意のコードを実行できてしまう脆弱性が発見されたとの事。

既にこの脆弱性を突くためのLHA形式書庫ファイルもInternet上に出回っており、Symantec製アンチウイルスソフトではTrojan.Lhdropperという名前で検出されます。

なお、デラックス版以外のバージョン(通常版、機能拡張版)に脆弱性が含まれているかは不明。

現時点(2007/6/26 14:15頃)において、+Lhaca公式サイトでは特に何もアナウンスされていませんし、対策済みのバージョンも公開されておりません。

……現時点では、+Lhaca以外の書庫解凍ソフトを使うのがベターかも……。
---
(2007/6/27 11:45頃追記)
セキュmemo経由。

正式版ではないものの、一応の対策版であるVer1.21が出ました。

……ただなぁ……正式版ではないとは言え、公式Siteのトップから全く辿れないのは如何なものかと(溜息)。＞Ver1.21
---
(2007/7/2 14:35頃追記)
修正したばかりの+Lhacaにまた脆弱性、新たな修正版をリリース - ITMedia
Ver1.21にも脆弱性が残されており、その後出たVer1.22にはテストコードが残されたままになっており orz 、更に新しいバージョンである1.23が出ました。

今度はトップページからも辿れるようになっていますね。