解凍ソフトの脆弱性

UNIX 上のファイルを Windows へコピーするために、tar.gz 形式でファイルをアーカイブした。 Windows でそのアーカイブファイルを開いた（Lhaplusに関連付けしていた）ところ、C ドライブ直下にファイルが展開されてしまった。 詳しいやり方は書かないけど、これは任意の場所にファイルを展開させることもできてしまう…。

ネットで調べたところ、窓の杜 - 【NEWS】多くの解凍ソフトに指定外の場所へファイルが解凍されてしまう脆弱性が存在というアナウンスが見つかった。

通常、解凍ソフトでは、ユーザーもしくはソフトが指定した場所に解凍したファイルが生成されるが、本脆弱性を悪用して特殊な方法で解凍先を指定した圧縮ファイルを解凍すると、ユーザーが解凍先に指定したフォルダの存在するドライブ上で、悪意がある人間が指定したフォルダにファイルが作られてしまう。

僕が偶然気がつくくらいだから、それほど「特殊な方法」でも無いと思う。が、危険なことには変わりがない。 7月の話なのに今まで気がつかなかったとは…不覚。早速、最新版のソフトに更新しておいた。対策をしていない人は多そうだな、これ。

追記

詳細については、統合アーカイバの対応状況がよくまとまっている（辺境から戯れ言より）。