LZH 書庫形式のファイルについて、ウィルス対策ソフト等での検疫漏れの発生する可能性の指摘に対するウィルス対策ソフト等のベンダーや JVN の対応に、UNLHA32.DLL の作者である　Micco さんが嫌気がさしてって話を「UNLHA32.DLL 等の開発停止意向の影響」で書いたところですが、その後「IPA の不適切な取扱いにより、どんどん混乱が広がっている気がします……。」(セキュリティホール memo より引用) という話もあるようで。。。

分かる範囲での現状の整理をしてみました。

CERT/CC (Wikipedia の説明) より「CERT-FI Advisory on Antivirus Signature Evasion Using Archive Files」が発表される (対象となる書庫形式はZIP, CAB, GZIP, 7Z and RAR)

JVN が翻訳「JVNVU#545953 複数のアンチウィルス製品に脆弱性」を発表

Micco さんが「LZH形式でも同じようなことが発生する」と JVN へ報告

JVNの対応は「不受理」としつつ、JVNVU#545953 の「JPCERT/CCからの補足情報」欄へ「なお、CERT-FI のアドバイザリには、発見者が本脆弱性を発見した際に調査を行った圧縮形式として、ZIP, CAB, GZIP, 7Z および RAR が記載されていますが、これら 5形式のみならず LZH や ACE など、他の圧縮形式でも同じ問題が発生する可能性があります。 」を追記。←不受理としつつ行った、この追記が混乱の元(翻訳資料でしかないものに、JVN独自の脆弱性情報通知を入れてしまったため)。

2010年6月23日付けで、JPCERT/CC (Wikipedia の説明) が「JPCERT/CC、国内初のCNA (CVE Numbering Authority)に認定(PDFファイル)」されたということで、「国内のパートナーシップや海外から報告された脆弱性関連情報に自らの判断でCVE 番号を付与できるようになります。」そうですから、これからは異なる対応が期待できるのでしょうか？(CVE番号の付番の可否の話とはぜんぜん別な次元の話のような気がヒシヒシと 8) )