Winnyにバッファオーバーフローを引き起こされる脆弱性

IPAおよびJPCERT/CCは4月21日、P2Pファイル共有ソフトである「Winny」において、バッファオーバーフローを引き起こされる脆弱性が判明したと発表した。細工されたパケットによって、ソフトウェアが異常終了する可能性があるという。IPAなどは、バッファオーバーフローを

製品・サービス・業界動向業界動向

2006.4.24 Mon 17:40

IPAおよびJPCERT/CCは4月21日、P2Pファイル共有ソフトである「Winny」において、バッファオーバーフローを引き起こされる脆弱性が判明したと発表した。細工されたパケットによって、ソフトウェアが異常終了する可能性があるという。IPAなどは、バッファオーバーフローを引き起こされた場合、一般的に外部から任意のコードが実行されることから注意を呼びかけている。

なお、JPCERT/CCのVendor Status Notesには、対応策としてWinnyの制作者である金子勇氏のコメントが掲載されている。コメントによると、同氏は諸般の都合によりWinnyのアップデートや脆弱性の具体的な検証が困難な状況であり、十分な理解の上で使用するよう求めている。また同氏によると、Winnyはさまざまな部分でチェックを行っているため、仮にバッファーオーバーフローの脆弱性への攻撃を想定した場合でも、これによりあらゆる任意のコードが実行が可能という訳ではないと判断しているという。

ただし、eEye Digital Securityの報告では、このバッファオーバーフローの悪用は容易で、任意のコードを実行することも可能だとしている。

Vendor Status Notes：金子勇の JVN#74294680 への対応
http://jvn.jp/jp/JVN%2374294680/182914/index.html

《ScanNetSecurity》