Lhaplusを捨てきれず脆弱性を解決(?)して無理やり使えるようにした話

Tips

2024.12.20

どうもNanasです、卒論の中間発表を控えているのですが一応資料作成は終わったものの本文に取り掛かりたくなさすぎてこっちに来ました。

タイトルの通りかの有名な圧縮・解凍ソフト「Lhaplus」の脆弱性を解決(?)して2024年12月現在でも使えるようにしてしまおうという記事です。
なんだかんだこれの完全な代替が見つからずに結局使い続けたいと思った次第です。~~アイコン好きだし~~

一応ですが、ここから紹介する手順は全て自己責任でお願いします、脆弱性がもし残っててツンツンされてもすみませんが手におえません。

Lhaplusの脆弱性についてちょっと紹介

まあこの記事にたどり着いた時点で検索とかで「Lhaplus 脆弱性」なんてサジェストはどこかで見たことあるとは思いますがそもそもその脆弱性ってなんやねんって話

Lhaplusでよく話題になってる脆弱性は大きく２つ

～Version 1.73における ZIP64形式展開時の任意コード実行
Version 1.74(最新)に含まれるライブラリ UNACEV2.DLL の脆弱性

前者は旧バージョンを使わなければいいだけなのでほぼ無視できますが問題は後者です

こちらはLhaplusが、っていうよりLhaplusはじめ多数のソフトで利用されている UNACEV2.DLL の問題です。
これは 2005年以降アップデートされておらず実質的にサポートが打ち切られている上に、このDLLを使用したままLhaplusも Version 1.74(2017年)を最後にアップデートがされていません。

UNACEV2.DLLの何がダメなの

UNACEV2.DLL は UN”ACE”V2と名の通り「ACE形式」の書庫ファイルを扱うときに使われるライブラリです。
このライブラリを用いてACEを解凍すると任意の場所に任意のファイルを作成することができる脆弱性があります。

大半の人はここで「ACEってなんすか」ってなると思います、俺もそうですこの件調べるまで一切知りませんでした。
雑に言うと「ACEとかいう誰も使っていない形式のためのライブラリのせいで脆弱性が残っている」状態です。

「じゃあACE使わなきゃ良いだけじゃん」と思うかもしれませんが実はそうでもなく
拡張子が .zip とかでも中身がACE形式だと普通にこのライブラリを使われてしまうのです。

なので処置は単純明快 UNACEV2.DLLを抹消すればいいだけです

unacev2.dllの削除方法

C:\Program Files (x86)\Lhaplus

Lhaplusのインストール後ここにアクセスしてください

はい、居やがりました UNACEV2.DLL
しっかり(?)タイムスタンプも2005年で止まってます

ゴミ箱に残すのも嫌なので Shift + Delete で完全消去します。

以上。お疲れ様でした

本当は乗り換えたい

本当はこんな骨t..老舗ソフトではなくもっとモダンなのに移行したいんですがいかんせん使い勝手がどれもなんか微妙で乗り換えれないのが現状です

書庫ファイルダブルクリックで即デスクトップに解凍
解凍済みの書庫ファイルをゴミ箱に移動、確認付き
確認後に解凍して生成したフォルダをエクスプローラーで開く

意外とこの簡単な流れができるソフトって無いんですよね。
アイコンの氷はどうにかするとしてなんかこれ満たしてるやつあったら教えてください。

LhaForge2はかなり惜しいところまで対応していていますが、解凍後のフォルダーが書庫ファイルの削除確認前に開くのが割と煩わしかったので没です。残念

ではまた次回～

参考させていただいた記事

老舗ソフトに19年間見つからなかった脆弱性
https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/041800013/052000016

Lhaplusの脆弱性とは？起こり得るインシデントと解決方法を解説
https://www.conoris.jp/column/vulnerability-lhaplus