人気のアルゴリズム LZO で20 年来のバグ発見、バッファオーバーランの影響を受ける恐れ

Markus Oberhumer によって 1994 年に開発された LZO は、この 20 年に渡り、OpenVPN や FFmpeg、Linux カーネルなど、無数のシステムで広範に利用されてきた。

脆弱性と脅威セキュリティホール・脆弱性

2014.6.30 Mon 8:30

解凍速度に定評のあるデータ圧縮アルゴリズム LZO（Lempel-Ziv-Oberhumer）に、20 年来の潜在的なバグが発見された。

Markus Oberhumer によって 1994 年に開発された LZO は、この 20 年間に渡り、OpenVPN や FFmpeg、Linux カーネルなど、無数のシステムで広範に利用されてきた。物理的なデバイスでは各種ゲーム機、携帯電話、自動車、飛行機、さらには火星探査車 Curiosity でも使用されている。

今回のバグは Oberhumer 自身によって発表された。「過去の全バージョンの LZO が、バッファオーバーランの影響を受ける可能性がある」と Oberhumer は警告している。この脆弱性を悪用できる状況は限られているものの、それは DoS 攻撃や、遠隔コードの実行などを引き起こす恐れがあるという。

Oberhumer は 2014 年 6 月 25 日から、oberhumer.com のウェブサイトで、このバグに関する説明を行うとともに、それを修復した最新版の「Version 2.07」をリリースしている。

《江添佳代子》