ソニーコミュニケーションネットワーク（SCN）は5月24日，メール・ソフト「PostPet」にセキュリティ・ホールがあることを明らかにした。コンピュータ・ウイルスをはじめとする，悪意がある添付ファイルを勝手に実行させられる恐れがある。
影響を受けるのは，Windows版 の PostPet ver.2.05 以前，PostPet ViaVoice 対応版 ver.2.05 以前ならびにPostPet kids ver.1.01 以前。Macintosh 版や Windows CE 版は影響を受けない。対策は，同社が公開するアップデート・ファイルを適用して，最新版にバージョンアップすること。
このセキュリティ・ホールの発見者である，独立行政法人 産業技術総合研究所の高木浩光氏が，セキュリティ関連のメーリング・リスト「セキュリティホール memo メーリングリスト」へ投稿した内容によると，ある細工が施されたWebページをInternet Explorer（IE）で閲覧すると，PostPetで事前に受信していた添付ファイルが実行されてしまうという。
つまり，攻撃は次の2段階を経て可能になる。
（1）攻撃者は，対象となるPostPetユーザーへ，悪意がある添付ファイルを送信する。PostPetは，受信メールにファイルが添付されていると，自動的にある特定フォルダに保存する。そのため，悪意がある添付ファイルもそのフォルダに保存されることになる。
（2）攻撃者は，対象ユーザーを細工が施されたWebページに誘導する。ユーザーがそのページを閲覧すると，特定フォルダ内に収められた，悪意があるファイルが勝手に実行される。
添付ファイルを受け取った段階では，ファイルは勝手に実行されない。その後，細工が施されたWebページをIEで閲覧してはじめてファイルが実行される。しかし，このことがセキュリティ・ホールの危険度を下げることにはならない。例えば，メールにウイルスを添付して，そのメール本文に細工を施したWebページのURLを記述しておけば，一通のメールで攻撃を完結することができるからだ。
高木氏の投稿内容によれば，PostPetでは，添付ファイルが予測可能なフォルダ（パス）名に，予測可能なファイル名で保存されることが問題であるとしている。具体的には，添付ファイルは「C:\Program Files\So-net\PostPet for Windows ver. 2.0\添付書類フォルダ\」に，ファイル名はそのままで保存される。
今回公開されたアップデート・ファイルを適用すれば，この問題を解消できる。アップデート・ファイルを適用すれば，添付ファイルが保存されるたびに，ランダムな名前のフォルダが作成され，そこに添付ファイルが保存される。具体的には，「C:\Program Files\So-net\PostPet for Windows ver. 2.0\添付ファイルフォルダ\＜ランダムに決定されるフォルダ名＞\添付ファイル名」として保存される。
ただし，ランダムな名前のフォルダに保存されるのは，アップデート・ファイルを適用した後に受信した添付ファイルだけである。既に受信している添付ファイルは，予測可能な状態のままである。
そのため，高木氏は投稿の中で，「C:\Program Files\So-net\PostPet for Windows ver. 2.0\添付書類フォルダ\」以下のファイルについては，無害であることが明らかなファイルだけを別フォルダに移動して，それ以外のファイルは削除するよう勧めている。SCNは，移動先のフォルダには第三者に予測されにくい名前を付けるよう勧めている。
また，現在使用していなくても，一度でもPostPetを使ったことがあれば，同じように予測可能なフォルダに添付ファイルが残っている可能性が高い。改めて確認したい。
深刻なセキュリティ・ホールである。IT Pro読者ご自身はもちろんだが，身の回りのPostPetユーザーに対しても，とにかくアップデート・ファイルを適用するよう勧めてほしい。
◎参考資料
◆PostPetのセキュリティに関する重要なお知らせ（ソニーコミュニケーションネットワーク）
