情報処理推進機構(IPA)とJPCERTコーディネーションセンターは10月12日、フリーの圧縮・解凍ソフト「Lhasa」や「Lhaplus」にそれぞれ脆弱性が発見されたとして、セキュリティ情報を公開した。 Lhasaで確認された脆弱性は、実行ファイルを読み込む際のファイル検索パスに関する問題から、意図しない実行ファイルを読み込んでしまうもので、バージョン0.19以前に存在する。Lhaplusの脆弱性は、DLLを読み込む際の検索パスに関する問題から意図しないDLLを読み込んでしまうもので、バージョン1.57以前に存在する。いずれの脆弱性も、プログラムを実行している権限で任意のコードを実行される可能性がある。 それぞれのソフトの開発者は、脆弱性を修正したバージョン(Lhasaは0.20、Lhaplusは1.58)を公開済み。ユーザーに早期の適用を呼び掛けている。
![フリーの圧縮・解凍ソフトに脆弱性、ユーザーはアップデートを](https://cdn-ak-scissors.b.st-hatena.com/image/square/7e51372d18138e90ed2c8d95d693065718b5e361/height=288;version=1;width=512/https%3A%2F%2Fimage.itmedia.co.jp%2Fimages%2Flogo%2F1200x630_500x500_enterprise.gif)