「一太郎に任意のコードを実行可能な脆弱性、ゼロデイ攻撃も確認される」記事へのコメント

「出所の不明な文章」を開いても問題が無い設計をすべき

[Printable is bad. (38668)]

一太郎の脆弱性を悪用した不正なプログラムの実行危険性について (ジャストシステムからのお知らせ) [justsystems.com] によると、

これらアップデートモジュールの導入にかかわらず、 身に覚えのない電子メールに添付されている一太郎の文書ファイル、並びに、信頼性が保証されていないWebサイトなどにある、 出所の不明な一太郎の文書ファイルを開かないよう、ご注意ください。

とのことですが、一太郎のファイルは「文章ファイル」なのですから、開いてみないと出所が不明かわからないことも多いのではないでしょうか。

例えば、企業のメールアドレスに 「発注書を添付しました。ご査収の程、よ

Re:「出所の不明な文章」を開いても問題が無い設計をすべき

[Anonymous Coward]

同意
そもそも作りに問題ありますよね

読む・見るだけなら丸ごと画像でいいわけで

テキストコピーについても
別途テキストを格納し座標なりIDなどで
テキストエリア情報を管理していれば
脆弱性が生まれる余地を減らせるのに

さすがに編集作業はそうもいかないでしょうけれど
回覧文章のファイルフォーマットは改善してほしいですね
PDFですら危なっかしいんですから

# まぁそれでも画像レンダリングでの脆弱性は残ってしまいますが

Re:

[Anonymous Coward]

お前の言う事は評論家だな
ドヤ顔で言ってるんだろうが、すでにそうなってるよ