老舗の圧縮・解凍ソフト「Lhaz」「Lhaz+」にパストラバーサルの脆弱性、修正版が公開

脆弱性レポート「JVN#68350834」

　脆弱性ポータルサイト「JVN」は5月11日、脆弱性レポート「JVN#68350834」を公開した。老舗の圧縮・解凍ソフト「Lhaz」および「Lhaz+」にパストラバーサルの脆弱性（CVE-2026-41530）があるという。

　フォルダー自動生成オプションを有効化した「Lhaz」「Lhaz+」で書庫ファイルを展開（解凍）すると、書庫ファイルと同じ名前のフォルダーを作成し、そのフォルダー内に展開ファイルを配置するのが仕様だ。

フォルダー自動生成オプション

　しかし、書庫ファイルが特定のファイル名をもつ場合、意図した通り展開先のフォルダーが作成されず、階層が1つ上になってしまうことがあったという。この不具合を悪用すれば、想定外のフォルダーに展開ファイルを書き込むことができてしまう。最悪の場合、悪意あるファイルを配置して実行させる攻撃に悪用される可能性がある。

　深刻度の評価は、「CVSS 4.0」の基本値で「4.6」（10点満点）と評価されている。

　この問題は、以下のバージョンで修正済み（4月15日付けで公開）。利用中の場合は、対策済みバージョンへのアップデートが必要だ。

• Lhaz ：v2.6.4
• Lhaz+：v3.6.4