hmx-17の日記

技術ネタとかプライベート

LZHの使用は推奨されない?

どうやら、LZHの作者自身がLZH書庫の使用を「推奨しない」ことにしたみたいです。
※:このセンテンスは間違いです。正しくはLZH自体の作者とは別の人(UNLHA32.DLL(解凍DLL)の作者)です。
作者氏が公開しているセキュリティ情報を見ると(LZH 書庫のヘッダー処理における脆弱性について (2010 年版))
どのソフトがどの脆弱性(というか欠陥?)があるのかを克明に記してあります。
また、推奨しない理由として作者氏は日記にて次のように述べています。

 『LZH 書庫のヘッダー処理における脆弱性について (2010 年版)』 (MHVI#20100425) について, 4 月下旬に JVN へ報告したのですが, 今日になってようやく返事が来ました。 結果は「不受理。」  「殆ど同じネタでも, ZIP や 7z 書庫では脆弱性情報となり, LZH や ARJ 書庫では脆弱性に当たらない」としか解釈できない結果でした。 状況は 3 年半前と変わっていないようです。
(中略)
 「『LZH 書庫なんて知らねぇ〜よ』という態度」と解釈したのは, ベンダーについては「説明等を行ったあとは 3 年以上梨の礫で対応も行われていない」, JVN / IPA については「『ZIP, CAB, 7z 書庫など, 脆弱性情報として公開されている同様のケース (対策ソフト等で検疫が行われない不具合:JVNVU#545953。) と何が異なるのか?』といった質問に対して未回答だった」, といった経緯からです。 不受理とした理由が 3 年半前と同じ (「それは脆弱性ではなく, ソフトの機能・性能の問題」という理由。) であるのなら, 書庫が異なるだけの違いでしかない JVNVU#545953 を公開するのは論理的に破綻しています。 一方, 異なる理由が ちゃんとあるのであれば それを説明できるはずですし, 出来ないのであれば それはもはや「LZH 書庫だから」といった理由しか残らないことになります。

と語っています。
# いろいろ書きたいけどとりあえずメモ程度にする
# とりあえず言えるのはJVN(IPA)仕事してくださいということ