SNS Advisory No.55
Eudora 5.x for Windows Buffer Overflow Vulnerability rev.2

Problem first discovered: 6 Jun 2002
Published: 5 Aug 2002
Last revised: 8 Aug 2002

概要：
QUALCOMM社のEudora バージョン 5 for WindowsにBuffer Overflowの問題を発見しました。悪意のある攻撃者にEudoraを実行するユーザの権限で任意のコマンドを実行される可能性があります。

詳細：
Eudora（開発元：米国QUALCOMM Inc.,日本語版開発製造元：株式会社クニリサーチインターナショナル）はWindows 95/98/2000/ME/NT 4.0、およびMacOS 8.1以上で動作するMail User Agentです。

Eudora 5.x for Windowsは、添付ファイルなど複数のパートで構成されたメールのパートの境界を示すboundaryに、139バイト以上の文字列を含むメールを読み込んだ場合にバッファオーバーフローが発生します。我々の検証環境では任意のコマンドを実行できることが確認できました。

問題を確認したバージョン：
Eudora 5.0-J for Windows（Ver.5.0.2-Jr2 trial）日本語版

Eudora 5.1.1 for Windows（Sponsored Mode）英語版

問題を確認したOS：
Microsoft Windows 2000 Professional SP2 日本語版
Microsoft Windows 98 SE 日本語版

対策：
電子メールに対するコンテンツフィルタリングを行うことのできるソフトウェアなどから、139バイト以上の文字列をboundaryとして使用する電子メールを排除するよう設定し、Eudoraからそのような電子メールを受け取らないようにすることで、この問題の影響を緩和できる可能性があります。

米QUALCOMM社より、Eudoraの次期リリースで修正予定である、という連絡を受けています。

株式会社オン・ザ・エッヂより、次期リリース予定のEudora5.1-J for Windowsで修正が予定されている、という連絡を受けています。

発見と報告の経緯：
2002年6月 6日：脆弱性の発見
2002年6月 6日：win-eudora-bugs@kuni.co.jpへ報告
2002年6月14日：win-eudora-bugs@kuni.co.jpへ再度報告
2002年6月17日：米QUALCOMM社へ報告
2002年6月18日：米QUALCOMM社より調査開始の連絡
2002年7月 3日：米QUALCOMM社へ状況確認のための連絡
2002年7月19日：再度、米QUALCOMM社へ状況確認のための連絡
2002年7月24日：アドバイザリ公開予定日を米QUALCOMM社へ連絡
2002年7月25日：米QUALCOMM社より次期リリースで修正予定であるとの連絡
2002年8月 5日：問題の影響を最大限に懸念し、問題を公開
2002年8月 6日：日本のサポート先であるオン・ザ・エッヂ社に、連絡が届いていない事がわかり、本アドバイザリ公開後オン・ザ・エッヂ社より連絡を受け、直ちに次期リリースで修正する予定との連絡を受ける

発見者：
三輪信雄（LAC） n-miwa@lac.co.jp

更新履歴：
2002年8月5日：初版発行
2002年8月8日：問題の詳細を追加、「株式会社オン・ザ・エッヂ」を「win-eudora-bugs@kuni.co.jp」に変更、対策に問題の緩和方法を追加、対策について「株式会社オン・ザ・エッヂ」からの情報を追加、経緯に「株式会社オン・ザ・エッヂ」からの連絡を追加

免責：
このアドバイザリで示される情報は予告なしに変更されることがあり、かつ、あるがままの形で提供されます。この情報を適用し生起される結果のリスクは利用者が負うものとし、株式会社ラックは一切の責任を負わないものとします。

再配布について：
このアドバイザリの再配布は、下記条件を満たす限り自由です。

発行元URLとして、以下のURLを明記する。
http://www.lac.co.jp/info/advisory/55.html