今日の出来事 (Jun, 2010)

Ubuntu 10.04 Desktop インストール on VMware 7.1...

　現在 VMware 上のゲスト linux の中でメイン使用しているのは Ubuntu 9.04 なのですが， 気付いたら あと 3 月ほどでサポート期間が終了する状況となっていました。 結果論としては LTS である 8.04 から さっさと上げてしまったことが敗北点ということになります。 その時点では解っているつもりで上げたわけですけれど。(笑)

　それはともかく， サポートが切れる以上版を上げないといけないわけですが， 幸いと言いますか VMware 7.1 が 10.04 LTS に対応しましたので， 10.04 をインストールすることにしました。 そうと決まれば， あとは iso イメージを落とし それを使ってインストールして， パッケージを最新のものへ上げて最後に wine をインストール…と， サクッと環境が整いました。 新からのインストールだと楽ちんですね。 データーは全部ホスト上に保存してあることですし。

　と言うわけで， 右上画像のような感じとなっています。 感想…「当分， この色使いに慣れることはないであろう。」 (笑)

　そういえば wine ですが， Ubuntu 10.04 へ上がったからなのか wine 1.2 rc2 へ上がったからなのかは判りませんが， フォントが無くとも日本語表示されるようになりました。 が， その状態だと軒並み HTML ヘルプがエラーでお亡くなりになりますので， やっぱり日本語フォントは必須みたいです。 エディター等で表示が崩れたりもしますし， あれこれ調整するよりはフォントを入れておいたほうが楽でしょう。 その辺りを除けば wine 1.1.42 の頃と変わらないようです。

VMware 7.x と VirtualBox 3.x の相性問題...

　前は全く問題なかったのですが， いつの頃からか…， VMware が 7.1 へ上がったからなのか VirtualBox が 3.1 へ上がったからなのかは判りませんが， VirtualBox をインストールすると VMware の「VMware Authorization Service」が自動開始されなくなりました。 一旦この状況に陥ると再起動しようが何だろうが自動で起動することはなく， 回復するには VMware をインストールし直すしかありません。

　インストールし直すだけなら別段構わないのですが， 「(インターネット接続に絡む NIC に変化はなくとも) NIC が追加・削除されると即再アクティベーションが発生する」ソフトの存在する点が問題なのです。 となると， 頻繁に版の上がる VirtualBox のほうを控えるしかないですね。 あくまでもメインは VMware ですから。 ふむ。 マイナーバージョンの最終形態だけインストールするのがタイミング的に無難かしら？

Corel PaintShop Photo Pro X2 のアクティベーション...

　上のネタの続きです。 再アクティベーション発生組の中で一番問題となるのが， 標題の「Corel PaintShop Photo Pro X2」です。 これ， とりあえずは そのまま何もせずともアクティベーションが終了するわけですが， 累積カウントがしっかり積み上がります。 で， 昨日 VirtualBox 3.2.2 インストールに伴っての VMware 7.1 再インストールの結果， ついにインストール不可能となりました。

　まぁ， 月曜以降に Corel へ電話して事情を説明すればキーを発行してもらえるのでしょうけれど， 新版が出ていることですし手っ取り早く X3 を買ってしまいました。(笑) 　これで， しばらくは保つでしょう。

『LHA の脆弱性』その後 (5) と UNLHA32.DLL 等， 開発中止...

　『LZH 書庫のヘッダー処理における脆弱性について (2010 年版)』 (MHVI#20100425) について， 4 月下旬に JVN へ報告したのですが， 今日になってようやく返事が来ました。 結果は「不受理。」 　「殆ど同じネタでも， ZIP や 7z 書庫では脆弱性情報となり， LZH や ARJ 書庫では脆弱性に当たらない」としか解釈できない結果でした。 状況は 3 年半前と変わっていないようです。

　これで， 「ベンダー， JVN / IPA 等共に『LZH 書庫なんて知らねぇ〜よ』という態度から変わることはない」と判断できましたので， UNLHA32.DLL， UNARJ32.DLL， LHMelt の開発を中止することに決めました。 脆弱性が存在しても放っておかれるような書庫が いつまでも業務目的で利用されるのは嫌ですので。

　なので， 現行のバグフィクスくらいはしますが， 64 ビット版や低レベル API 追加版は出ません。 さらに やる気を失ってバグフィクスも面倒になったら告知することになるでしょう。 今は まだ完全停止に至っていませんので。

　おそらく， 海の向こうでネタに上るか大きな事件でも発生しない限り対応されることはないでしょうから， (特に団体・企業内で) LZH 書庫を使うのは止めましょう。 まぁ， ZIP 書庫ですら 3 年以上経ってから海外でネタに上ったくらいなので， LZH 書庫も あと 10 年ほどしたら海外でネタに上るかもしれません。

Jun.4,2010 追記

　「『LZH 書庫なんて知らねぇ〜よ』という態度」と解釈したのは， ベンダーについては「説明等を行ったあとは 3 年以上梨の礫で対応も行われていない」， JVN / IPA については「『ZIP， CAB， 7z 書庫など， 脆弱性情報として公開されている同様のケース (対策ソフト等で検疫が行われない不具合：JVNVU#545953。) と何が異なるのか？』といった質問に対して未回答だった」， といった経緯からです。 不受理とした理由が 3 年半前と同じ (「それは脆弱性ではなく， ソフトの機能・性能の問題」という理由。) であるのなら， 書庫が異なるだけの違いでしかない JVNVU#545953 を公開するのは論理的に破綻しています。 一方， 異なる理由が ちゃんとあるのであれば それを説明できるはずですし， 出来ないのであれば それはもはや「LZH 書庫だから」といった理由しか残らないことになります。

　よもや， 「CVE で採用された事案 (CVE-2010-0098) は公開するが， 国内からの情報提供は受理しない」といった寒いケースではないことでしょう…「ないと思いたい」です。 もしそうなら存在価値ゼロですから。

　何かアホらしくなってしまいましたので， 現在調査中だった 2・3 のソフトの脆弱性 (攻撃可能なもの。) については調査の継続 (と言いますか実証データーの作成。) も報告するのも止めました。 自衛だけしておいて， あとは何時か何処かで誰かがネタに上げてくれることを期待することにします。