オープンソースのファイルアーカイバー「7-Zip」で深刻なセキュリティ問題が発見され、2024年11月に修正された。この脆弱性は、Windowsの重要なセキュリティ機能「Mark of the Web（MotW）」を回避し、悪意のあるコードを実行できる可能性があったものである。特に、アーカイブ内のファイルが解凍された際にMotWが適用されない欠陥が指摘されていた。
問題を追跡する識別番号「CVE-2025-0411」により、この脆弱性の深刻度は7/10（高）と評価されている。専門家は、7-Zipに自動更新機能がないため、利用者に対し手動で最新版に更新する重要性を強調している。修正版のバージョン24.09がリリースされており、これにより潜在的なセキュリティリスクが解消されたとされている。
セキュリティの中核「Mark of the Web」が果たす役割とその課題
Windowsの「Mark of the Web（MotW）」は、インターネットからダウンロードされたファイルを特定し、その安全性を保証する重要なセキュリティ機能である。これにより、悪意のあるスクリプトや不審な実行可能ファイルが利用者の知らないうちに動作するのを防ぐ仕組みが提供されている。
しかし、今回の7-Zipでの脆弱性が示すように、この機能が十分に適用されない場合、攻撃者の侵入を許す結果となる可能性がある。具体的には、MotWはファイルに「Zone.Identifier」というストリーム情報を付加することで、ユーザーに確認を促し、危険な操作を未然に防ぐ。
しかし、7-Zipではアーカイブ内に含まれるネストされたファイルに対し、このストリーム情報が適切に適用されていなかった。これにより、攻撃者は特定の条件下で悪意のあるコードを実行できる状況を作り出していた。この問題は、セキュリティソリューションとしてのMotWの依存性がいかに高いかを浮き彫りにしている。
重要なのは、このようなシステム的課題が利用者自身の意識と対策によって大きく軽減できるという点である。セキュリティ研究者は、自動更新機能のないツールを利用する際には、常に最新バージョンの適用を怠らないことが不可欠であると強調している。
脆弱性の深刻さを測るCVEスコアと7/10の意味
CVE-2025-0411として報告された今回の脆弱性は、その深刻度スコアとして7/10（高）が付けられている。この評価は、脆弱性の影響範囲、悪用の容易さ、そして攻撃による潜在的なダメージの大きさを総合的に判断して算出されるものである。
7というスコアは、攻撃者にとって悪用が現実的であり、かつ影響が顕著であることを示している。特に、今回のケースでは、ネストされたアーカイブという特定の条件下で攻撃が可能になる点が注目される。
攻撃者がこの脆弱性を悪用するには、標的が悪意のあるページを訪問するか、意図的に作成されたファイルを解凍する必要があるため、完全に無防備な状況というわけではない。しかし、こうした条件は高度な技術を持つ攻撃者にとって難易度の高い障害ではなく、特に標的型攻撃で利用されるリスクが考えられる。
一方で、CVEスコアはあくまで技術的な指標に過ぎない。実際の被害を最小限に抑えるためには、各利用者が脆弱性情報に敏感であり、必要なセキュリティ対策を講じることが求められる。これは、ソフトウェア開発者と利用者双方の責任である。
独自視点：オープンソース製品の課題と更新の重要性
7-Zipのようなオープンソースのツールは、その高いカスタマイズ性や無料で利用できる利点から、多くの人々に支持されている。しかし、こうした製品には自動更新機能が不足している場合が多く、利用者自身が定期的な更新を手動で行う必要があるという課題がある。これは、特にセキュリティの観点からリスクとなり得る。
今回の7-Zipのケースでは、MotWへの対応が最初に実装されたのは比較的近年であったが、それでも完全な防御策を提供するには至らなかった。この事実は、オープンソースプロジェクトがいかに迅速に新たな脅威に対応する能力を持つかを示す一方で、その脆弱性への対処が後手に回る場合のリスクも浮き彫りにしている。
利用者側からの視点では、ツールの選択時に自動更新機能の有無を確認し、その機能がない場合にはセキュリティ通知を積極的にチェックする必要がある。また、開発者側には、利用者が更新の必要性を認識しやすい仕組みを提供する責任がある。こうした相互の努力が、ソフトウェアの安全性を向上させる鍵となる。
Source：TechRadar