昨日の拡張子の偽装の話の続き

通りすがり２さん：

Windowsの脆弱性として届け出られるべき問題ではないかと思います。
secure@microsoft.com へ「bad_breath.jpg」「sunbath.jpg」「Turkish_bath.jpg」
とかいう添付ファイルを送ってやればよいかと。
あ、Outlook Expressでの表示はどうなるのでしょう？

この偽装の話は、Microsoft による「セキュリティの脆弱性」の定義には当てはまりませんし、「ソフトウエア等脆弱性関連情報取扱基準」（平成16年経済産業省告示 第235号）で定められている脆弱性の定義にも当てはまりません。もちろん、脆弱性ではないとはいえ、Microsoft に仕様の改善を求めるべきだと思いますので、実際にそのように手続きをしています。また、Outlook Express が実際にどのように表示するのかは確かめていませんが、これを利用するにより、Outlook Express が備える添付ファイルからの保護機能を回避することはできませんので、その点からも Microsoft が脆弱性と判断することはないでしょう。
それでも不満を感じるのであれば、IPA への届け出様式では公開済みの脆弱性を発見者以外の者が報告することもできるようになっていますので、この日記の URL を添えたうえで IPA へ脆弱性として届け出ましょう。おそらくうんざりするような回答が返ってくるとは思いますが、仕様改善を望む声がたくさん集まれば IPA や JPCERT/CC およびその向こう側にいる Microsoft も動くかも知れません。