ジャストシステムは26日、同社のワープロソフト「一太郎」と、グラフィックスソフト「花子」に、コード実行の脆弱性が見つかったとして、問題を修正するアップデートモジュールの提供を開始した。シマンテックの公式ブログによれば、この脆弱性を悪用した攻撃が先月中頃から発生しているという。
今回見つかった脆弱性についてジャストシステムからの詳細情報はないが、シマンテックの情報からは、一太郎や花子が「DLLプリロード攻撃」に対し脆弱だったことがうかがえる。
Windowsアプリケーションは、アプリケーション本体のプログラムファイルとは別に、コードやデータをDLL（Dynamic-Link Library）と呼ばれるファイルに格納しておき、必要に応じて読み込む仕組みが用意されている。
DLLプリロード攻撃は、アプリケーションが使用する正規のDLLの代わりに、攻撃者が用意した悪質なDLLを読み込ませることによって、任意のコードを実行しようというもの。今回の攻撃は、一太郎や花子が正規のDLLを格納したシステムフォルダよりも、文書ファイルと同じフォルダに置かれたDLLを優先的に読み込んでしまう欠陥が悪用されたとみられる。
同社では、26日より、この問題といくつかのバグを修正したアップデートモジュールの提供を開始している。下記の同社の告知ページから、各製品用のダウンロードページへとリンクしているので、それぞれのアップデートモジュールを適用していただきたい。
26日に公開されたアップデートモジュールは、一太郎2011/2012/2013、一太郎ポータブル with oreplug、花子2012/2013用のみで、サポート中の他の製品に関しては、以下のスケジュールで順次公開される予定だ。
＜2月28日＞
一太郎Pro、ジャストスクール2011、一太郎Government 6
＜3月5日＞
一太郎2010、一太郎ガバメント2010、ジャストスクール2010
花子2010/2011、花子Police3/2010
＜3月28日＞
一太郎2006/2007/2008/2009、一太郎ガバメント2006/2007/2008/2009
ジャストスクール、ジャストスクール2009
花子2006/2007/2008/2009、花子Police、
なお、該当製品には含まれていないが、無料で配布されている閲覧ソフトの「一太郎ビューア」と「花子ビューア」も同日、最新版が公開されている。使用している方は、最新版に更新しておくことをお勧めする。
（2013/02/27 ネットセキュリティニュース）
【関連URL】
・一太郎・花子の脆弱性を悪用した不正なプログラムの実行危険性について（ジャストシステム）
http://www.justsystems.com/jp/info/js13001.html
・一太郎の脆弱性: 新たなゼロデイ脆弱性の悪用を確認（シマンテック）
http://www.symantec.com/connect/ja/blogs/ichitaro-vulnerability-another-zero-day-exploit-wild
・複数のジャストシステム製品において任意のコードが実行される脆弱性（JVN）
http://jvn.jp/jp/JVN16817324/
・複数のジャストシステム製品の脆弱性対策について（IPA）
http://www.ipa.go.jp/about/press/20130226.html
・一太郎ビューア（ジャストシステム）
http://www.justsystems.com/jp/download/viewer/ichitaro/
花子ビューア（ジャストシステム）
http://www.justsystems.com/jp/download/viewer/hanako/