4月のマイクロソフトセキュリティ更新を確認する[15:57]「ウイルスの登場は時間の問題、Winnyの使用は今すぐ中止してほしい」~Winnyの脆弱性を発見した米eEyeの鵜飼裕司氏P2Pファイル共有ソフト「Winny」をユーザーを狙ったウイルスによる情報漏洩事件が相次ぐ中、4月にはWinny本体にも脆弱性が存在することが公表され、Winnyを利用し続けることのリスクはさらに高まっている。Securityの鵜飼裕司氏に伺った。「Winnyの脆弱性は非常に危険なもので、Winnyを使用しているだけで悪意のあるプログラムを送り込まれ、PCを乗っ取られる危険性がある。現在Winnyを使用している人は、今すぐ使用を中止してほしい」と鵜飼氏はWinnyの危険性を警告する。鵜飼氏が発見したWinnyの脆弱性は、Winnyが使用するデータ交換ポートに対して悪意のあるデータを送信することでヒープオーバーフローを引き起こさせ、これにより任意のプログラムを実行させることが可能になるというもの。鵜飼氏らは実際に任意のプログラムを実行させられることも確認しており、既にこの脆弱性によりPCをハングアップさせるコードも第三者によって公開されているという。ユーザーがWinnyネットワークに参加していることが観測されており、潜在的には100万人程度のユーザーが存在するのではないかと推測している。鵜飼氏は、「これはつまり、100万台の脆弱なPCがネットワークに放置されている状態で、しかもこのPCの一覧を特定することもできる。過去に発生したSasserなどのネットワーク感染型ウイルスは、ランダムなIPアドレスに対して攻撃をかけていたが、Winnyを狙ったウイルスであれば対象が特定できるため感染が一気に広まる危険性がある」と、事態の深刻さを危惧する。Winnyは開発者が著作権法違反の幇助の罪に問われた刑事裁判中であり、脆弱性を修正したバージョンの公開などができないという「極めて特殊な状況にある」ことも、さらに危険性を高めていると指摘する。第三者により脆弱性を修正したプログラムや修正パッチなども公開されているが、「調べた範囲では脆弱性を修正しきれていないものもあり、これらが安全であるという保証もされない」として、危険であることに変わりはないと警告する。鵜飼氏は今回発見したWinnyの脆弱性について、「ある意味では典型的な脆弱性で、調査を開始してすぐに発見できた」と語る。これはWinnyだけの問題ではなく、日本のフリーソフトやシェアウェアにも、5~6年前によく発見されたようなレベルの脆弱性が多く見られるという。鵜飼氏は、「日本では、セキュアコーディングに関する教育や資料があまりにも少ない。ヒープオーバーフローによってどのような攻撃が行なわれるかといったことについても、日本語で解説している書籍がほとんど無い」として、日本のソフトウェアはセキュリティ的に脆弱なものが多いと警告。した状況を改善するためには、大学などでセキュリティ的な観点からのプログラミングについての教育を行なうことで、人材を育成していくことが必要だと語った。「研究者などは少ないかもしれないが、悪意をもって脆弱性を攻撃しようと考えている人間は日本にも結構いると考えており、『脆弱性を突いた攻撃コードがすぐに作られることはないだろう』と考えるべきではない」と指摘する。実際に、脆弱性の存在が公表された翌日には、WinnyをハングアップさせるDoSコードが公開されており、決して楽観視はできないと指摘した。情報漏洩事件などで海外からの注目も高まっており、鵜飼氏も海外からの問い合わせを多く受けているという。した状況から、海外のウイルス作成グループにWinnyが狙われる可能性も高く、Winnyの利用は極めて危険な状況だと考えているとした。鵜飼氏は、「Winnyを狙ったウイルスのほとんどは、暴露ウイルスのようにユーザーに被害を与えることを目的として作られている。今回の脆弱性を利用したウイルスが登場した場合にも、愉快犯的な攻撃を行なう可能性が高い。どのような被害を起こすのか想像が付かないところが恐ろしい」と指摘。「ウイルスが登場するのは時間の問題で、被害を少なくするにはWinnyが稼働している台数を減らすことしかない」として、Winnyユーザーに対して「とにかく、今すぐにWinnyの使用は中止してもらいたい」と訴えた。