「一太郎」に脆弱性、アップデートモジュール提供開始 -INTERNET Watch（情報元のブックマーク数）
一太郎に脆弱性が存在してアップデートを出しているそうです。
フォント関係の処理に問題があるそうで・・・
ジャストシステムは12日、ワープロソフト「一太郎」シリーズに脆弱性が見つかったことを公表するとともに、これに修正するためのアップデートモジュールの提供を開始した。
「一太郎」に脆弱性、アップデートモジュール提供開始 -INTERNET Watch Watch
この脆弱性は、フォント情報の処理部分に存在するもので、4月7日に見つかった。これを悪用する文書ファイルを一太郎で直接開いたり、Webサイト上に埋め込まれた文書ファイルを開いてしまった場合、悪意あるプログラムをローカルディスクに保存しようとするという。攻撃が成功すると、攻撃者によってPCを完全に制御される可能性がある。
現在、一太郎2010用、一太郎2009および一太郎ガバメント2009用のモジュールが用意されており、同社サイトでダウンロード提供している。このほか、一太郎2008/2007/2006、一太郎ガバメント2008/2007/2006についてもアップデートモジュールを準備中、一太郎2010の体験版については最新版を準備中だ。そのほかの製品については引き続き調査中だとしており、わかりしだい告知していく。
実際に攻撃コードも出ている模様。履歴書のテンプレートを悪用しているみたい。
今回の脆弱性は、フォント情報の処理に関するもの。細工が施された一太郎文書ファイル（拡張子がjtdのファイル）を開くと、中に仕込まれた悪質なプログラム（ウイルスなど）を勝手に実行される恐れがある。
「白紙の履歴書」にご用心――「一太郎」に新たな脆弱性 | 日経 xTECH（クロステック）
実際シマンテックでは、今回の脆弱性を悪用する文書ファイルを確認しているという。文書ファイルを開くと、4種類のファイルが勝手に生成され、パソコンにコピーされる。そして、その1つである履歴書のテンプレート（ひな形）が、一太郎に読み込まれて表示される（図）。
これは、ユーザーの目を欺くために表示される無害の文書ファイル。一方、残りの3ファイルはすべてウイルス。履歴書が表示されると同時に動き出す。ウイルスの1つは、特定のサーバーに接続し、攻撃者からの命令に従って動作する。つまり、攻撃者にパソコンを乗っ取られることになる。
