「WinZip」に保護機能バイパスの脆弱性 - 6月の更新で修正済み

Alludo（旧Corel）が提供するファイルアーカイバ「WinZip」の脆弱性が明らかとなった。アップデートで修正されている。

インターネットよりダウンロードした際に付与される「ゾーン情報」の「Mark-of-the-Web（MoTW）」を削除する脆弱性「CVE-2024-8811」が報告されたもの。

細工したアーカイブファイルをユーザーに開かせた場合に、インターネットよりダウンロードされたことを警告するアラートがバイパスされ、悪意あるファイルがそのまま実行されてしまうおそれがある。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.8」と評価されており、重要度は「高（High）」とレーティングされている。

脆弱性は現地時間5月に報告され、脆弱性へ対処した「WinZip 76.8」を6月にリリース済み。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」には、11月22日に収録されたが、脆弱性を報告したZero Day Initiativeでは開発者と協調のもと、9月にアドバイザリを公開していた。

（Security NEXT - 2024/11/25 ）ツイート