INASOFT 管理人のひとこと

■少し前に話題になった話……古いフリーソフトは、今でも使い続けられているのか？

ここ一週間ほど、このページを更新するようになったきっかけとなる話です。最近はX(旧Twitter)やFacebookだけで発信することが多くなった一方で、いわゆる「お膝元」的な自身のサイトの更新が滞っているというのが、なんとなくよろしくないような気がして。自分も「連絡不能作者」かな？と思われてしまうのが、急に怖くなったので。

3月26日、窓の杜の記事が話題になっていたのを見かけました。

老舗の解凍ツール「解凍レンジ」に任意コード実行の脆弱性 ～JVNが利用中止を呼びかけ

2002年最終更新の「解凍レンジ」脆弱性があるものの、作者に連絡を取ることができず、JVNが利用中止を呼びかけているというものです。リンク先には作者のWebサイトへのリンクがありますが、最終更新からだいぶ長く、そのままの状態が維持されているようです。

X(旧Twitter)上につけられたコメントを見ると、「懐かしい」「昔はお世話になった」などの声が聞かれる一方、「まだ使っている人がいたのか」「もし連絡が付いたとして、直すのは大変ではないか」のような声も出てきてしました。

そういえば自分自身のことを考えてみると、「すっきり!! デフラグ」や「いじくるつくーる」などいくつかのソフトは、最終更新からかなり長い年月が経過しています。仮に脆弱性が見つかって、外部機関から連絡が来たとして、直すかどうか？でいうとかなり微妙です。これらのソフトは自分自身でも使っていないですし、需要があるような気もしません。というか、2012年の連続誤検知事件の影響で、モチベーションが非常に下がっていることを自覚しています。2000万円くらい寄付されたらモチベーションが復活するような気がしますが、そうでもない限りは「使うのをやめてね」というだけで、直すことはないでしょうね。繰り返しますが、2000万円を渡されて、どうしても！と言われれば、直しますんで。ただのモチベーションの問題です。1800万円でもいいです。いや、1500万円でもいいです。

今の64bitのWindowsって、ネイティブで16bitバイナリを実行する手段がなくなったのですが、いじくるつくーるって、ビルド過程の一部で16bitバイナリに頼る個所があるから、今はもう動かせないんで、開発環境がなくなっている状態になっています。もちろん、古いPCを連れてくるとか、Windows 7を仮想環境に入れてXP Modeを使うとか、MS-DOSプレイヤーを使うとか、いくらでも手段はあるのですが、それは技術的に可能というだけで、モチベーションを喚起することにはなりません。そこまでして脆弱性を直したところで、作者に利点はないですからね。

おそらく、本件についても、作者に連絡が取れたところで、作者が開発環境を維持しているとは思えないし、技術的に開発環境が作れるとしても、そのモチベーションまで維持しているかは微妙でしょうね。

2000万円を渡したら、話は変わるかもしれませんが。

で、もう一つ。「まだ使っている人がいたのか」についても、微妙でしょうね。問題は、このソフトが、作者のホームページ上で公開され続けてしまって放置されていること。これから（何かの間違えで）使い始めてしまう人がいるかもしれないこと。これを防ぐために、JVNは永遠に呼びかけを続けなければならないこと。それが大変なんだと思います。

この点、うちのサイトの場合は、僕自身が音信不通になると、さくらインターネットへの支払いが滞るはずなので、数年後にはWebサイトは自動消滅してくれる…はずですかね。

ところで、JVNの連絡不能開発者一覧を見ると、

この中には東方Project原作の「上海アリス幻樂団」さんが入っているんですよね。界隈では結構有名な話らしいです。「東方星蓮船 ver1.0.0b の作者、または著作権を有している製品開発者の方、または販売代理店等、本製品に関係する方は下記の宛先までご連絡をお願いします」ということだそうですね。

X(旧Twitter)上でいただいた情報によれば、リプレイデータの読み込みに問題があって、任意のコードを実行されてしまう恐れがあるとか。東方Projectでは、リプレイデータのネット公開が盛んにおこなわれていますので、これは結構深刻な問題だったりします。実際に、リプレイデータ経由で電卓を起動させてしまうデモも公開されているのだとか。

まぁ、あまりこういうことに興味を持たれない原作者様なので、JVNからの呼びかけに対し、興味を持てずに無視をしているのだろうと想像できます。こういうのも、連絡不能に含まれるんですね。

ちなみに私自身も以前、飲み会でご一緒した際に、「最小化（タスクバーボタンに入っている）状態でAlt+F4で終了すると、二度と復帰できなくなる」バグをご報告したんですが、特に直されることはなかったので、過去に公開した作品のバグについては、そもそもあまり気にされない方なのかなと思います。

作者が直さない意思を表明したとしても、やはり脆弱性であることに変わりはないので、JVNによる呼びかけは続くのでしょう。