漏洞ID: JVN#88850043 概述: Lhasa可能以不安全的方式加载可执行文件（.exe）。 受影响产品: - Lhasa ver0.19及更早版本 描述: Lhasa是一款支持LZH和ZIP格式的文件解压软件。在解压缩文件时，Lhasa会加载某些可执行文件（.exe），并存在文件搜索路径的问题，这可能导致可执行文件被不安全地加载。 影响: 攻击者可以利用运行该应用程序的权限执行任意代码。 解决方案: 更新软件至最新版本，根据开发者提供的信息进行更新。 厂商状态: - Yoshihito Takemura：易受攻击 - 最后更新：2010/10/12 - 厂商备注：http://www.digitalpad.co.jp/~takechin/ 参考: IPA，关于Lhasa漏洞的安全警报。 JPCERT/CC补充 漏洞分析（由JPCERT/CC进行，2010年10月12日分析）: - 访问所需：可通过互联网使用数据包进行攻击，严重性高。 - 身份验证：匿名或者没有身份验证（IP地址不算数），严重性高。 - 用户交互需求：用户必须被说服进行大多数用户不认为有害的标准操作，如点击链接或查看文件，严重性中等。 - 利用复杂度：用户必须被说服进行困难或可疑的行为，如果诚实用户拥有提升的权限，他们可能更加怀疑，严重性高。 致谢: Makoto Shiotsuki将此漏洞报告给了IPA。JPCERT/CC与开发者在信息安全早期预警伙伴关系下进行了协调。 其他信息: 包括JPCERT警告、报告、咨询等。 CVE: CVE-2010-2369 JVN iPed swoją: JVNDB-2010-000038 更新历史: - 2010/10/15：英文发布。