MHVI#20100425：
LZH 書庫のヘッダー処理における脆弱性について (2010 年版)

　LZH 書庫のヘッダー処理における脆弱性については， LHA for UNIX 1.14 における CVE-2004-0234 を始めとして， 多くのソフトについて同様の情報が公開され修正が行われているところです。 この脆弱性は， ID 0x01 (ファイル名) や 0x02 (パス名) の拡張ヘッダーに比較的長い名前が格納されていると， スタックやヒープ領域のバッファーオーバーフローが発生してしまうというものです。

　実は， LZH 書庫のヘッダー処理については， ソフトによってはヘッダー読込用バッファーのオーバーフローという同様の古典的で大きな問題が存在します。

　LZH 書庫のヘッダーは， 『基本ヘッダー + 拡張ヘッダー』という構造になっています。 このようなヘッダーに対しての読込処理には， 大きく分けて次の 2 つのタイプが存在します：

• 比較的最近のソフトに多いもので， それぞれのヘッダーのサイズを事前にチェックした上で， それが収まるサイズのバッファーを動的に確保して読込処理を行う。
• オリジナルのソースを利用したものなど古いソフトに多いもので， 一定のサイズのバッファーを用意しておいて， そのバッファーにヘッダー全体 (基本ヘッダー + 拡張ヘッダー) を一括して読み込む。

　ここで問題となるのは後者のタイプです。 少し考えれば解りますが， このタイプの処理を行う場合， 用意されているバッファーに収まるサイズのヘッダーであるかどうかの確認が必要となります。 そのチェックを行わなかった場合は CVE-2004-0234 と同様の問題が容易に発生してしまい， たとえ CVE-2004-0234 に対応していたとしても無駄になってしまいます。 過去には CVE-2004-0234 への対応を謳っているソフトの中にも， そのようなものが存在しましたが， 現在では殆どのソフトが修正済みとなっています。

　ところが， このバッファーオーバーフローの問題に対応していたとしても， 後者の処理を採用しているソフトでは， それが新たな問題を発生させる場合があります。 問題が発生するのは『ウイルス対策ソフト』等の場合です。

　多くの対応ソフトでは， バッファーが溢れてしまう大きなサイズのヘッダーが存在した場合， そこで書庫全体に対する処理を打ち切るか， 当該メンバーを無視して次のメンバーの処理に移ります。 通常のソフトであれば， これは別段問題のない無難な処理と言えます。

　それに対して， ウイルス対策ソフト等の場合では この点が大きな問題となります。 対策ソフトが同様の処理を行った場合， 無視されるようなメンバーについては， どのようなファイルが格納されていたとしても検疫等が一切行われないことになります。 もちろん， 展開等を行ってファイルとして作成された時点で検疫・削除等が行われるわけですが， プリビュー等， メモリー上に展開イメージが作成されるような処理の場合には， そのまま当該メンバーが扱われてしまいます。 つまり検疫をすり抜けてしまうわけです。 ゲートウェイ的な言わば防御壁を設置したシステムを採用している場合や， 資産管理などで漏洩等を防ぐために検閲している場合は， 検閲・検疫されずに すり抜けてしまえば それまでです。

　7-Zip や WinRAR 等， 海外起源の比較的メジャーなものを始めとした一部のソフトは， ヘッダー読込については前者の方法を採っているため， サイズにかかわらず正常にヘッダーの読込が可能となっています。 それだけなら良かったのですが， 困ったことに， 書庫への対応が限定的となっていることから， 特に h2 形式ヘッダーについて， サイズ情報と実際に読み込んだヘッダー全体のサイズとの整合性， ヘッダーの CRC， といった改竄等に関する重要なチェック処理が行われません。 なぜか， この 2 つの傾向のセットで存在するソフトが多いのですが， このようなソフトは， ウイルス対策ソフト等でのチェックが行われない場合には， 非常に危険な状況に陥ってしまいます。

　また， (ヘッダー読込に対して) 前者の処理を行っている場合でも， ウイルス対策ソフトの場合は， ヘッダー全体のサイズについてのチェックを行ってほしいところなのですが， 実際には行われないことが多いようです。 例えば， McAfee のアンチウイルス プラス 2010 等では， CVE-2004-0234 系の脆弱性利用が疑われるヘッダーが存在した場合には， Exploit-LHA に類する書庫として検疫・削除を行いますが， ID 0x01， 0x02 の拡張ヘッダーに対してのチェックしか行っていないため， 比較的小さなサイズの拡張ヘッダーを多数用意したような書庫が検疫をすり抜けてしまいます。 CVE-2004-0234 系のものを検疫対象とするのであれば， このような書庫についても同様のものとして扱ってほしいところです。

　上記の例を組み合わせるだけでも， 『多くの対策ソフトの検疫をすり抜ける， バッファーオーバーフローと格納ファイルによる二通りの攻略方法を施した書庫』が出来上がってしまいます。 LZH 書庫を扱う場合については， 名前だけではなく， 大きなサイズのヘッダーを無条件に拒否するようにしたほうが良いのかもしれません。

　各ソフトが採用しているヘッダーの処理方法によって， それぞれ検疫すり抜けパターンが存在しますので， 一覧しておきます：

一覧されている対策ソフトが， 振り分けられているタイプの処理を行っているとは限りません。 あくまでも『そのタイプの処理を行った場合と同様の挙動を示している』に過ぎません。 例えば， LHA for UNIX 型の処理を行っていたとしても， 十分なサイズのバッファー (ヘッダー単体であれば上限値が存在します。) が確保されていれば， 挙動は 7-Zip 型と同じになります。

　実は LZH 書庫の場合と同様の問題が ARJ 書庫にも存在します。 むしろ， ヘッダーのサイズに限って言えば形式に限らない問題なのかもしれません。 それはともかく， ARJ 書庫ではファイル名等の情報が基本ヘッダーに SZ 形式で記録されていることから， こと名前に関しては， こちらのほうが深刻と言えます。

　まず， ヘッダー読込に関してですが， LZH 書庫と異なり， ARJ 書庫の場合は動的バッファーを採用した場合でもバッファーオーバーフローの危険があります。 というのも， 上述したように， ファイル名などの名前やコメント情報が SZ 形式で記録されているからです。 もしヘッダーの CRC を確認しなかった場合， 名前を扱おうとした段階で容易にバッファーオーバーフローが発生してしまいます。 幸い， LZH 書庫に対して CRC チェックを全く行っていなかった 7-Zip や WinRAR でも ARJ 書庫に対してはチェックを行うようになっていますので， 問題は発生しません。

　次に， 名前に関してですが， (拡張ヘッダーの) サイズ情報と SZ 形式という違いはあれども CVE-2004-0234 と同様の問題が発生する可能性があり， 実際この部分でバッファーオーバーフローの発生してしまうソフトが存在します。

　さらに， ここでも多くの対策ソフトが検疫を行ってくれません。 後述する ZIP 書庫については， 最近ようやく CVE-2010-0098 が公開されるなどして， 殆どのソフトが対応済みですが， ARJ 書庫については未だに多くのソフトが未対策のままです。 面白いことに， CVE-2010-0098 の脆弱性に該当し対応を行ったソフトについては， ARJ 書庫についても しっかり修正されています。

　ARJ 書庫についても， 各ソフトのバッファーサイズの違いにより， LZH 書庫と同様の問題が発生しますので， 一覧しておきます。 総じて小さめのヘッダーしか扱えないことから， テストデーター自体がオリジナルの限界サイズとの差が小さい点に注意してください：

　ZIP 書庫においても， ファイル名等の名前が 64KB まで記録できる仕様となっていますので， LZH や ARJ 書庫と同様， 問題の発生が考えられます。 こちらについては， 最近ようやく CVE-2010-0098 が公開されるなどして， 殆どのソフトが対応済みとなっています：

　巨大なヘッダーによるバッファーオーバーフロー発生の脆弱性については対応が行われており， 次のような処理を行います：

• 4KB を超えるヘッダーを扱えない (当該メンバーを無視する) ウイルス対策ソフトが存在したことから， 構造に関わりなく全体が 4KB を超えるヘッダーについては， 破損ヘッダー (Exploit LHA) として扱われます。 ちなみに， 4KB というのはオリジナルの LHA が用意していたバッファーのサイズで， 比較的多くのソフトが， このサイズを， そのまま採用しています。
• ID 0x01， 0x02 等の拡張ヘッダーについては， 512 文字を超えた名前が記録されていた場合には， 破損ヘッダー (Exploit LHA) として扱われます。
• メンバー名の改竄や隠蔽を意図したと思われるヘッダーサイズとデーターサイズの不整合については， 破損ヘッダー (Exploit LHA) として扱われます。

　巨大なヘッダーによるバッファーオーバーフロー発生の脆弱性については， 元々 UNARJ.EXE が既定のバッファーサイズを超えるものをヘッダーとして扱わないようになっていることから対応済みといえ， 次のような処理を行います：

• 既定のサイズ (3KB 弱) を超えるヘッダーについては， ヘッダーとして扱われません。
• CVE-2004-0234 と同様の名前情報に関する脆弱性は対応が行われています。
• LZH 書庫と異なり， 特にメンバー名の改竄や隠蔽を想定した特殊なチェック処理は行っていません。 UNARJ32.DLL は該当しませんが， CRC チェックを行わないようなソフトの場合は， この方面の危険性が存在すると思われます。

　巨大なヘッダーによるバッファーオーバーフロー発生の脆弱性については対応が行われており， 次のような処理を行います：

• 4KB を超えるヘッダーを扱えない (当該メンバーを無視する) ウイルス対策ソフトが存在したことから， 構造に関わりなく全体が 4KB を超えるヘッダーについては， 破損ヘッダー (Exploit LHA) として扱われます。 ちなみに， 4KB というのはオリジナルの LHA が用意していたバッファーのサイズで， 比較的多くのソフトが， このサイズを， そのまま採用しています。
• ID 0x01， 0x02 等の拡張ヘッダーについては， 512 文字を超えた名前が記録されていた場合には， 破損ヘッダー (Exploit LHA) として扱われます。
• メンバー名の改竄や隠蔽を意図したと思われるヘッダーサイズとデーターサイズの不整合については， 破損ヘッダー (Exploit LHA) として扱われます。

• 脆弱性情報の公開　[Apr.25,2010]
• Norton Internet Security 2011 の情報を追加　[Aug.29,2010]
• ウイルスバスター 2011 クラウドの情報を追加　[Sep.5,2010]