セキュリティ・ベンダーである英NGSSoftwareは現地時間3月3日，米Adobe Systemsのビューア・ソフト「Adobe Acrobat Reader 5.1」にセキュリティ・ホールがあることを明らかにした。細工が施されたファイルを開くと，ファイルに仕込まれた任意のプログラムを実行させられる恐れがある。

　対策はアップグレードすること。最新版の「Adobe Reader 6.0」には，このセキュリティ・ホールはない。NGSSoftwareでは，このセキュリティ・ホールの深刻度（Severity）を「High Risk」に設定している。

　今回のセキュリティ・ホールは，Acrobat Reader 5.1の「XML Forms Data Format（XFDF）」ファイルを処理する部分に見つかった。XFDFとは，PDF文書に注釈などの編集情報を付加するためのフォーマットである。細工が施されたXFDFファイル（拡張子は.xfdf）をAcrobat Reader 5.1で開くと，バッファ・オーバーフローが発生して，任意のプログラムを実行させられる可能性がある。

　XFDFファイルはデフォルトでAcrobat Readerに関連付けられているので，ファイル・アイコンをダブルクリックすれば，Acrobat Readerが起動して読み込まれる。また，拡張子が.xfdfではないファイルでも，MIMEタイプが「application/vnd.adobe.xfdf」に設定されていれば，Internet Explorer（IE）などはXFDFファイルとして取り扱う。

　今回のセキュリティ・ホールを悪用する方法としては，細工を施したXFDFファイルを，有用なファイルに見せかけてWebサイトに置いておく，あるいはメールに添付して送りつける方法が考えられる。

　対策は，最新版のAdobe Reader 6.0にアップグレードすること。「実行形式ファイルでなくても，怪しいファイルは開かない」ことも重要だ。

◎参考資料
◆[VulnWatch] Abobe Reader 5.1 XFDF Buffer Overflow Vulnerability
※3月4日14時現在，同社サイトには，情報が掲載されていない
◆「Adobe Reader」（アドビ システムズ）
【3月5日追記】
◆Adobe Acrobat Reader XML Forms Data Format Buffer Overflow（英NGSSoftware）

（勝村　幸博＝IT Pro）