セキュリティソフト（ウイルス対策ソフト）

YPCゲームではメジャー中のメジャーとも言えるTYPE-MOON製のゲームに、特殊な脆弱性が発見されました。
11月5日付で、JVNが注意喚起を促すニュースを出しています。

感染力の面ではほぼ皆無と言ってもいい内容ですが、その代わり、この脆弱性を利用した悪意を持った攻撃に万が一晒されてしまった場合には、きわめて危険な事態に陥る可能性のある内容です。

該当するゲームタイトル

この脆弱性を持ったゲームタイトルは以下の4つです。

• Fate/stay night（CD版、DVD版）
• Fate/hollow ataraxia
• 魔法使いの夜
• Fate/stay night + hollow ataraxia（セット版）

OSの任意のコマンドを実行される可能性あり

今回のTYPE-MOON製ゲームの脆弱性は、ゲームのセーブデータを改変することで悪用される可能性があります。

「OSコマンドインジェクション」とも呼ばれていて、該当ゲームのセーブデータの改造により、ゲームを実行しているユーザのWindows上の権限で許される、全てのWindowsのコマンドを実行される可能性があります。

考えうる最悪のケースでは、管理者権限を持ったユーザが悪意を持って改変されたセーブデータを使ってしまった場合、システムに対して致命的なコマンドを実行される可能性もあります。

不正改造したセーブデータを持ち込まなければ攻撃に晒されることはない

ただし、よくあるウィルスやマルウェアなどとは異なり、ゲームのユーザ自らが、悪意を持って改造されたセーブデータをネット上から拾ってきて自分のパソコンにコピーしない限りは、この攻撃に晒されることはありません。

このため「感染力」という観点では、非常に危険度の薄い脆弱性とも考えることが出来ます。

対応する更新プログラムのリリースはなし

かなり前からPC版のゲームはゲームの規模が非常に大きくなり、総プレイ時間が100時間に迫るようなタイトルまで現れています。
このため、全シナリオ、全てのゲーム内の画像などを見切るのが人によっては大変困難になっています。
こういった事情もあって、ネットにはゲームの画像オープン率100%などのフラグを立てたセーブデータがたくさん公開されています。

今回の問題では、このようなセーブデータを何気なしに持ってきて自分のパソコンに導入する危険性が示されました。

該当ゲームの開発元のTYPE-MOONでは、プログラムの修正によりこの問題を解決することは困難なことから、対処を行なう更新プログラムを作成できないことを既に公表済みです。
この脆弱性を利用した攻撃への対処としては、外部のセーブデータを導入しないことを上げています。

実際にこの脆弱性を利用した攻撃は報告されてはいませんが、ユーザはほかのゲームでも無条件に、ネットに公開されているセーブデータの導入を行なうのには、気をつけるのにこしたことはなさそうです。

Japan Vulnerability Notes：TYPE-MOON 製の複数のゲーム製品における OS コマンドインジェクションの脆弱性