パスワードを忘れた? アカウント作成
7421 story

ATOK15/16に外部から操作できてしまう脆弱性 54

ストーリー by yourCat
こんなところにも穴 部門より

Anonymous Coward曰く、"ジャストシステムATOK15/16に、外部からの操作が可能になってしまうという脆弱性を発見し、その問題を修正するアップデートモジュールを公開した。INTERNET Watchの記事によると、ジャストシステムはセキュリティ上の観点からこの件に関する詳細な情報は公表しないそうだ。
Windowsプラットフォームではユーザーはけっこう多いはずなので、それぞれすみやかに対処したほうがいいと思う。"

ジャストシステムの説明では「悪意を持ったユーザーがATOK15/16が導入されているコンピュータを利用して、不正に一部操作が可能になるという脆弱性」だという。ATOK14以前および17にはこの脆弱性はないそうだ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • 2chより (スコア:2, 参考になる)

    by swat (10957) on 2004年02月03日 18時14分 (#487384)
    2chのATOKスレッドによると、こういうこと [2ch.net]らしいです。
  • 自分もATOK16愛用者 (スコア:1, オフトピック)

    by SuperSouya (18827) on 2004年02月02日 21時17分 (#486605) 日記
    まさか、日本語IMEに脆弱性があるとは知りませんでした。
    ダウンロードしたら直ぐにアップデートを実施したいと思います。
    --
    Super Souya
    • by Anonymous Coward on 2004年02月02日 21時43分 (#486625)
       昔々の記憶が正しければX Window Systemはネットワーク透過で仮名漢字変換はその上を流れるメッセージに過ぎない(WinはAPI)ので、UNIX系の仮名漢字変換システムは結構脆弱性のパッチが多かったような気がする。

      #が、Linuxインストール時にセキュリティ強を選ぶとXIMが起動しないのはやりすぎだと思う(日本国内仕様としては)
      親コメント
    • by hitopin (2384) on 2004年02月02日 22時13分 (#486651)
      会社も自宅もATOKだけど、14のままアップグレードせず使ってます。
      よく言われると思うけど、最近のATOKってわけのわからん機能ばかり付いてきて、本質的な部分でのアップグレードってほとんど無いような気がしてます。
      だからATOKユーザでも古いものを使っている人って結構多いんじゃないかな。
      #SafariとMac版ATOKは相性が悪いようなのでEGBridgeに乗り換え検討中。
      親コメント
      • by fil (17752) on 2004年02月03日 22時00分 (#487571)
        SafariとATOKの問題はATOK16発売直前に出たパッチで修正されています。それまでは頻繁にフリーズ&クラッシュしましたが、それ以降は安定しました。

        ATOK16 は標準で Safari との相性問題はありません。

        それと、ATOK15から予測変換があるので、バージョンアップすると結構惚れなおすかも知れませんよ。

        #別に販売員ではありませんが。
        親コメント
    • by signed-coward (17953) on 2004年02月03日 0時30分 (#486776) 日記
      過去、9→10→11と来て、さすがに毎回バージョンアップするのも何だと思い、
      その後3つおきにバージョンアップすることにしたので、現在は14です。
      15、16と空けたので、今回17(一太郎2004)を買おうと思っていたのですが、
      ちょうど空けた2つに脆弱性が(苦笑)
      タイミングいいのやら悪いのやら……
      #まぁ、17は買いますけど。
      親コメント
  • ジャストシステムのページ、INTERNET Watch、またyourCat氏のコメントのどれを読んでも、「ATOKを使って」(Windowsのシステムに対して?)不正操作ができる、という脆弱性であるように読めます。

    Anonymous Coward氏による記事タイトルおよび本文だと逆に、「ATOKに対して」外部(ネットワークなど越しとか?)から不正操作ができるように読めてしまうのですが、これは間違いのような気がしないでもないです。

    前者だとすると、ローカルのアカウントを持っている人間しか突けない穴のようですね。もちろん、だから危険性が低いというつもりはありませんが。

    # 目の前で勝手に漢字変換が始まったらそれはそれで楽しいかも……。
    # いや、del *.* /Sとかされたら笑えませんが。
    --

    -May the sakura-cards be with you.-
    • とりあえずInternetWatchの記事を読むと、
      「ATOK16が導入されているPCを利用して不正に一部操作が可能になってしまうというもの。」
      とあるので、ATOK16が外部に対して開いているものがあるんでしょうな。
      で、そこを通してある程度のコントロールができるようになると。

      まあ、パッチが出て何よりってことなんだけど、気になったのが、
      「ジャストシステムでは、「セキュリティ上の問題から、この脆弱性に関する詳細な原因等は公表しない方針だ」としている。 」
      ってところかな…。
      プロプラだからって言うのかもしれないが、
      正直時代に思いっきり逆行してるようにしか見えない…。

      #FEPに過ぎないATOKが外部に対し出入り口を持っていたのもビックリだけど。
      #こういうのを見ると、さり気なく外部に晒してるアプリとか沢山いるんだろうなと思う。
      親コメント
    • 一次情報源である Justsystem の、アップデートモジュールに記載された情報
      本モジュールには、悪意を持ったユーザーがATOK16が導入されているコンピュータを利用して、不正に一部操作が可能になるという脆弱性を修正する内容を含みます。

      本モジュールをご導入いただくことで、以下の現象を 回避します。
      ・ 特定の条件で本来実行できないプログラムが起動できてしまう現象
      を読む限り、外部から攻略できる穴であるとは認識できません。 しかし、外部から攻略できる穴ではない、と確実に言い切れるだけの情報が開示されていないのも確かです。

      従って、「外部から攻略できる穴なのかもしれない」として対応すべきだと思います。

      それはともかくとして、Justsystem はきちんとしたセキュリティ勧告文書を公開すべきでしょう。ダウンロードページに (だけ) セキュリティ patch がいきなり出現している、なんて状況は最低だと思います。
      親コメント
  • 発見し? (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2004年02月02日 23時09分 (#486695)
    ジャストシステムは2日、.......脆弱性などを発見し、
    発見者はジャストシステム自身なんですかねえ。自分で発見して自分で正直に告知するというのは、プロプラなソフトでは、けっこう珍しいと思う。
  • by F8 (19734) on 2004年02月02日 23時09分 (#486696) 日記
    なんとなく、iATOK [iatok.com]絡みのバグかなと思ったのですが、ITmedia [itmedia.co.jp]によるとiATOKはATOK12/13の頃からあるそうなので違いそうな気もします。

    # 詳細な情報は公表しないなんて言われると余計気になるなー
    • by ramsy (8353) on 2004年02月03日 15時28分 (#487242) ホームページ 日記
      手元がATOK16だったので、早速当ててみました。
      ■転送ファイル名
       C:\PROGRAM FILES\JUSTSYSTEM\ATOK16
        ATOK16PR.DLL
        IATQB16.EXE
       C:\WINDOWS\SYSTEM32
        ATOK16DE.DLL
        ATOK16W.IME
      とでるので、iATOK絡みなのは可能性高い気がします。
      --
      # rm -rf ./.
      親コメント
  • 時期が時期だけにATOK17を買わせる戦略かと思ったよ。
    分かってたけど、17発売まで黙ってたとか・・・違うよね?>JS
    --
    ---Over, hri.---
  • ユーザー辞書が壊れやすいのを何とかしてくれないかなぁ。
    ある日突然1Gくらいのユーザー辞書が生成されてそのまま壊れちゃう
    ってことに結構遭遇しています。

    あとIME有効無効のキー操作でそのまま対象ウィンドウ(アプリ?)とともに落ちちゃうとか。

    atok16をしばらく使ってたんですがやけにそんなようなのが起こりやすくなっちゃったんで
    atok15にダウングレードして使ってます。
    んであんまりというか全然性能差気にならないもんだからatok17は買うかどうか迷い中で・・・うーん。

    IMEの話題のときにはまま話題にあがってるような気もしますが
    ググってみても一部でしか話題になってないから
    環境依存なのかなぁ。何のソフトとバッティングしてるんだろ。
    • by yohata (11299) on 2004年02月03日 2時46分 (#486865)
      オンメモリ辞書を使わなければ、壊れません。

      これも結構デカいバグなんだけど、いっこうに直りませんなぁ。
      親コメント
    • by shiraga (14233) on 2004年02月03日 3時34分 (#486881)
      IMEの話題のときにはまま話題にあがってるような気もしますが
      ググってみても一部でしか話題になってないから
      環境依存なのかなぁ。何のソフトとバッティングしてるんだろ
      Googleが圧力受けてたりして。(^^;)

      ATOKの不具合はちょくちょく聞くわりに、あらためて情報を探そうとGoogleくんに聞いてみても、ATOKそのものの不具合が載ってる個人のページで上位に来るのは
      • Windows版以外(Mac、Palm、Linuxなど)
      • 1年以上前のページ
      ばかりで、なぜかWindows版の話題が上位にはこない。
      ユーザーの比率を考えると不自然な気がしないでもない。
      親コメント
      • by Anonymous Coward
        Googleのページランクの仕組みを思い出してみては?
        個人サイトでは検索語句に関連する内容の重要性よりも
        他の話題で人気を博したとか当該サイトの相互リンクの付き合いや
        はてなダイアリーのような大手サイトで間借りしていることが
        上位に来る大きな要素になっているよ。
        • by shiraga (14233) on 2004年02月03日 19時46分 (#487483)
          • Windows版ATOKの不具合に言及したページが上位にこない
          • Mac版ATOKなら出てくる
          ことを合理的に説明できますか?
          MacとWindowsのユーザー比率を考えたら、他のサイトからリンクされる頻度もWindows版の方が多いと思いますが。
          親コメント
        • by Anonymous Coward
          今の一番の大きな話題はそれじゃないだろ。
  • by naruenosekai (13637) on 2004年02月03日 13時09分 (#487131)
    「閾値」(しきいち)が標準登録されないかなと思ったり。

    #ATOK14使いなので、既に登録されていたらすまぬ
  • by Anonymous Coward on 2004年02月02日 23時35分 (#486724)
    辞書配信システム化な?
    クライアントのバージョンも合うし。
    http://www.justsystem.co.jp/software/dt/atok16bs/index.html
    http://www.atok.com/abs/
  • by Anonymous Coward on 2004年02月02日 23時41分 (#486731)
    nmapしたけっかをおしえてください。
    • by Anonymous Coward
      >nmapしたけっかをおしえてください。

      Port State Service
      22/tcp open ssh
      427/tcp open svrloc
      548/tcp open afpovertcp
      631/tcp open ipp
      1033/tcp open netinfo

      これで満足した?
      #nmapで何でもわかると想ってるお子様が紛れ込んだようで。
  • by Anonymous Coward on 2004年02月03日 0時18分 (#486764)
    とりあえず、なぜこのトピックがセキュリティ [srad.jp]でもバグ [srad.jp]でもソフトウェア [srad.jp]でもなく日本 [srad.jp]なのかという事が気になるのですが...
typodupeerror

日本発のオープンソースソフトウェアは42件 -- ある官僚

読み込み中...