LZ4圧縮ソフトウェアの脆弱性、開発者がその仕組みを解説

LV4の開発者は7月7日(米国時間)、「RealTime Data Compression: Pointer overflow : an analysis of LZ4 literal attack」において、どのような仕組みでバッファオーバーフローが起こっていたのか、その詳しいメカニズムを説明した。同様のセキュリティ脆弱性はさまざまなソフトウェアに存在するとみられるため、同記事は技術資料として参考になる。なおLZ4のセキュリティ脆弱性はすでにLZ4 r119で修正されている。

事の発端は先月LZOなどの圧縮アルゴリズムの実装系にセキュリティ脆弱性が発見されたことにある。このセキュリティ脆弱性を利用されるとソフトウェアが不正終了するといった問題がでる可能性がある。このセキュリティ脆弱性は少なくとも20年間に渡って存在していたとされたほか、LZO系のソフトウェアのかなり多くが同様のセキュリティ脆弱性を抱えているとして問題視されていた。

LZ4はLZO系の圧縮アルゴリズムの中でも特に高速さと高い圧縮率で人気がでている実装系で、さまざまなオペレーティングシステムやZFSなどのファイルシステム、多くのソフトウェアで圧縮アルゴリズムとして活用されている。