Decompression and Archive Extraction Vulnerabilities: A Taxonomy of 21 Attack Mechanisms Across 1,067 Public Cases (2001–2026)
本論文は、解凍およびアーカイブ展開の脆弱性を包括的に分類するために、21種類の攻撃メカニズムの統一された分類体系と、1,067件の公開事例（2001年–2026年）のラベル付きインベントリを提示し、パス・トラバーサルが状況を支配していることを明らかにするとともに、緩和策に関するドキュメントの重大な欠落を浮き彫りにし、将来の研究のための新たなリソースを提供するものである。
原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
毎日、ソフトウェアは静かで不可欠な行為を行っています。それは、デジタルパッケージを開くことです。ユーザーがファイルをダウンロードしたり、アプリケーションをインストールしたり、メールの添付ファイルを受け取ったりする際、コンピュータは圧縮されたデータを解凍して利用可能な状態にしなければなりません。この「解凍（デコンプレッション）」と呼ばれるプロセスは、デジタルアーカイブの内容を解き明かす鍵となります。しかし、これらのパッケージを開くメカニズムは、時に危険な形で失敗することがあります。攻撃者が特別に細工したファイルを送った場合、ソフトウェアが騙され、極めて小さな入力から膨大な量のデータを作り出し、システムをクラッシュさせてしまうことがあります。あるいは、ファイルを誤ったフォルダに書き込み、重要なシステムデータを上書きしてしまうこともあります。また、ソフトウェアがファイルの構造を単純に誤解し、破綻を招くこともあります。これらの失敗は単なる珍しい不具合ではなく、個人のコンピュータからインターネットを動かしているサーバーに至るまで、あらゆるものを脅かす持続的なセキュリティ上の欠陥というクラス（種類）なのです。
ユージェン・スピヴァクという研究者は、これらの失敗が具体的にどのように起こるのかを理解するために、長年、公開されている記録を調査してきました。1,000件を超える文書化されたソフトウェアの脆弱性の事例を分析することで、スピヴァクは問題の新たな地図を作成しました。すべてのエラーを個別の事象として扱うのではなく、この研究ではそれらを21の明確な攻撃手法へとグループ化しています。これらの手法は、主に4つのカテゴリーに分類されます。すなわち、出力が入力よりもはるかに大きくなる状況、ソフトウェアがファイルの構造を読み間違えるエラー、システムの異なる部分が同じファイルを異なる方法で解釈してしまう失敗、そしてソフトウェアがファイルを誤った場所に保存してしまうミスです。その目的は、散在する個々のバグ報告を超えて、これらの攻撃がどのように機能するかについての明確で統一された全体像を描くことでした。
この研究では、2001年から2026年9月までの間に公式データベースから収集された、1,067件の脆弱性の公開事例を分析しました。最も衝撃的な発見は、最も一般的な失敗は、複雑な数学的トリックや深いメモリエラーではなく、ファイルを保存する場所に関する単純なミスであるということです。事例の約70パーセントにおいて、ソフトウェアはファイルを誤ったフォルダに展開しており、これにより攻撃者が重要なシステムファイルを上書きしたり、悪意のあるコードを仕込んだりすることを可能にしていました。この特定の種類の誤りは、しばしば「パス・トラバーサル」と呼ばれ、ソフトウェアがファイルを書き込む前にその転送先を適切にチェックしていないときに発生します。研究によれば、この問題は解凍を行うコア・ライブラリ自体に最も多く見られるのではなく、それらのライブラリを使用するアプリケーション・コードに見られます。言い換えれば、ツール自体は多くの場合安全ですが、そのツールを呼び出すプログラムが、適切な境界設定を忘れてしまうことが多いのです。
もう一つの重要な割合を占める事例には、「解凍爆弾（デコンプレッション・ボム）」が含まれます。これらは、コンピュータのメモリやストレージを圧倒するほど巨大なものへと膨張するように設計されたファイルです。研究によると、これらの事例の多くでは、ソフトウェアに安全策が組み込まれていたものの、そのチェックが不完全であったことが分かりました。ファイル内に宣言された数値を信頼してしまったり、プロセスの途中でチェックを止めてしまったりといったケースです。これは、防御策は存在するものの、データが辿り得るあらゆる経路をカバーできていなかったことを意味します。また、研究では、これらの攻撃が到達する方法の変化についても指摘しています。多くの攻撃はいまだにファイルやパッケージとして届きますが、サーバーやオンラインサービスを直接標的にして、ネットワーク経由のメッセージとして送られてくるケースが増えています。
これらの問題の頻度にもかかわらず、それらを記述した公開記録はしばしば曖昧です。研究によれば、公式の報告書が「修正内容が実際に何を行ったか」を明示的に記述していたのは、わずか約8パーセントに過ぎませんでした。ほとんどの記録は、単に新しいバージョンのソフトウェアが利用可能であると述べるだけで、何がその変更を安全にしたのかという具体的な説明を欠いていました。このような詳細の欠如は、セキュリティチームが根本原因を理解し、システムを保護することを困難にします。さらに、本研究は、2つの異なるソフトウェアプログラムが同じファイルを相反する形で読み取るという、ある種の誤りのカテゴリーが公式記録から漏れていることも強調しました。これらの「セマンティック・ギャップ（意味論的な乖我が生じる隙間）」は、公開報告書では特定しにくいものですが、現場では現実的な脅威として知られています。
データはまた、2026年におけるこれらの報告数の急増も明らかにしました。しかし、研究者はこの増加は、現実世界での攻撃の急増を反映したものではなく、脆弱性の発見と報告の方法の変化を反映したものであると慎重に述べています。この増加は、検出ツールの向上、報告のラベル付け方法の変化、あるいは用語の変化によるものである可能性があります。確かなことは、監査された記録が明確な傾向を示していることです。すなわち、最も一般的かつ危険な失敗は、ソフトウェアがファイルを誤った場所に書き込むケースであり、これらの失敗は多くの場合、抽出ツールを包み込むアプリケーション・コードの責任であるということです。
研究は、ソフトウェアを構築し維持する人々への一連の実践的な推奨事項を提示して締めくくられています。ライブラリの開発者は、自らのツールが何を保護し、何を保護しないのかを明確に文書化すべきであり、アプリケーションの開発者は、ファイルがどこに保存されるかをチェックする責任を負わなければならないと示唆しています。また、セキュリティ・アドバイザリが単に新しいバージョンを指し示すのではなく、修正が何を行ったかを明示的に述べるよう、報告基準の改善も求めています。これらの変更を行うことで、業界は個々のバグを修正するという反応的な姿勢から、根底にあるメカニズムを理解し防止するという先制的なアプローチへと移行できるはずです。この研究は、問題を解決したとか、あらゆる防御策をテストしたと主張するものではありませんが、地形の包括的な地図を提供するものであり、どこで足元が崩れやすいのかを正確に示しているのです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。