NEW7-ZipにDoS攻撃の脆弱性…最新バージョン25.00に更新を

RAR5形式は、7-Zipと同じアーカイブ作成ソフト「WinRAR」で作成可能な圧縮形式で、7-Zipでも2015年リリースの15.06 betaから解凍にのみ対応しています。

CVE-2025-53816はローカルからの攻撃とされていますが、悪意のあるRAR5形式のファイルをメールへの添付ファイルや不審なWebサイトからダウンロードさせる受動的攻撃のシナリオが考えられ、またより7-Zipでファイルを開く確率を上げるため、RAR5形式本来の「.rar」拡張子ではなく「.7z」拡張子を付与する可能性があります(アンチウイルス等でこのような拡張子の偽装に対し警告が出るケースもあります)。

根本的な対策のためには最新バージョンへのアップデートが必要ですが、7-Zipのような現時点で自動更新機能・アップデートリリース時の通知機能がないソフトウェアについては古いバージョンが使い続けられる可能性があり、アップデートのリリース情報を随時収集しつつ、各種ソフトウェアを含め最新のバージョンに保ち続けることを意識すること、並行して悪意のあるファイルの受信・ダウンロードを食い止めるためアンチウイルスやUTMによる防御も怠りなく実施することが重要となります。

前述の理由から、7-Zipの更新には通常ユーザー自身がインストーラーを入手することになりますが、サーチエンジンで「7-zip」で検索した場合に、不正な広告で表示されたサイトから偽のインストーラーを掴まされる恐れもあり、その意味でもアンチウイルス・UTMによる防御を行うとともに、7-Zipのバージョン情報から表示される公式サイト(https://www.7-zip.org/ )にアクセスすることを心掛けましょう。

Carrorl・Curry両氏は、Oliviaに対するセキュリティ突破ができないか調査をしていた際にParadox.ai社が使う管理画面へのリンクを見つけたとしています。

ID・パスワード「123456」は初期状態のアカウント情報であり、管理者が変更していなかったことが原因としている一方、Paradox.ai社では両氏以外の第三者から当該アカウントへのアクセスの形跡はなかったとしています。

– 初期のアカウントのパスワードに「admin」等が使われているケースはルーター・NAS・複合機等のネットワーク機器においてもよく見られ、これを変更していなかったり、さらに外部から管理画面にアクセス可能だったりする機器は格好のターゲットとなり得るため、パスワード(可能であればIDも)を推測されにくいものに変更することは言うまでもなく、近年はそれに留まらず多要素認証の設定も強く推奨されます。