死のジップ（減圧爆弾）の正体

A 死の郵便番号-としても知られている。 ジップボム または 減圧爆弾-は、圧縮形式の基本的な動作を悪用するために作られた悪意のあるアーカイブファイルです。このようなファイルが解凍されると、巨大なサイズに膨張してシステムリソースを圧迫し、プロセスやサーバー全体を停止させることさえある。この攻撃が巧妙であり、現在でも有効であるのは、次のような点にある。 正当な機能を悪用する解凍。最近のシステムは圧縮ファイルが無害であることを期待しているが、ZIP爆弾は解凍されるときにCPU、メモリ、ストレージ、I/O容量を静かに消費する。

コードを実行したりデータを盗んだりするマルウェアとは異なり、Zip of Deathは サービス妨害兵器 アーカイブに埋め込まれている。その目的は直接的な窃盗ではなく リソースの枯渇とサービスの中断多くの場合、さらなる悪用の隙を作ったり、単に自動化されたワークフローを機能不全に陥れたりする。

ジップ・オブ・デスの仕組み技術的な仕組み

古典的な「死のジップ」は、次のような活用をする。 再帰的圧縮ネストされたアーカイブは、ますます大きくなるデータセットを、見かけによらず小さなファイルに圧縮する。42.zip」ファイルは、圧縮サイズは約42KBだが、解凍すると4.5ペタバイトを超えるデータになる。

これは、ZIPフォーマットの設計が、解凍時にのみ実体化される大きなコンテンツへの参照を許可しているために起こります。解凍プロセスは、呼び出し元のアプリケーションに制御を戻す前に、すべてのデータに対してメモリとディスクを割り当てます。

最新の環境-クラウドパイプライン、マイクロサービス、CI/CDシステム-では、このリソースの爆発は単一のプログラムだけでなく、サービスが障害と再起動を繰り返すクラスタ全体をダウンさせる可能性がある。

Zipまたはアーカイブの取り扱いに関連する実際の2025年セキュリティ事件

古典的な分解爆弾攻撃は、（攻撃者が他の手口と組み合わせることが多いため）野生の攻撃を追跡するのは難しいが、2025年には、以下のような攻撃がもたらされた。 ZIPと解凍のコンテキストにおけるいくつかの影響力の大きい脆弱性と悪用パターン:

CVE-2025-46730: 高度に圧縮されたデータの不適切な取り扱い

この脆弱性は モブセフ (モバイル・セキュリティ・フレームワーク）により、ZIP-of-Death 形式のファイルがサーバーのディスク容量を使い果たす可能性があります。12-15MBの細工されたZIPは、解凍時に数ギガバイトに膨張し、サーバーのサービス拒否につながります。 フィードリー

攻撃者は、従来のマルウェアのシグネチャをトリガーすることなく、ファイル・アップロードのエンドポイントを標的にし、単に解凍を使用してサービスをクラッシュさせ、モバイル・セキュリティ・テストのワークフローを混乱させる可能性があります。

7-Zip の脆弱性が積極的に悪用されている (CVE-2025-11001 & CVE-2025-0411)

のような広く使われている解凍ツールの欠陥を利用した攻撃により、Zip爆弾は2025年にさらに危険なものとなった。 7-Zip.CVE-2025-11001およびCVE-2025-11002として追跡されている脆弱性は、ZIPファイル内のシンボリックリンクの不適切な処理に関連しており、細工されたアーカイブが意図されたディレクトリの外部にファイルを書き込み、Windowsシステム上でコードを実行する可能性があります。 ヘルプ・ネット・セキュリティ

もう一つ、関連する欠点がある、 CVE-2025-0411この問題は、Mark-of-Web（MoTW）バイパスにより、ネストされたアーカイブが展開される際にWindowsのセキュリティチェックを回避できるようにするものである。 NHSイングランド・デジタル

いずれも2025年の傾向を示している： パス・トラバーサルと特権昇格の仕組みに不正な解凍を組み合わせる事実上、死のジップは従来の資源枯渇よりも深刻な脅威となる。

2025年においても死亡推定時刻が重要な理由

多くのセキュリティ専門家は、ZIP爆弾はウイルス対策ツールで検出される古い手口であり、最新のクラウド環境では無関係だと考えている。しかし、最近のインシデントが示しているように 本当の危険は、減圧がどこでどのように行われるかにある。.メールアーカイブゲートウェイ、CI/CDランナー、クラウドオブジェクトプロセッサー、ディペンデンシーマネージャーなど、アーカイブを自動的に処理するシステムでは、適切なチェックが行われないことが多い。その結果

• サービス拒否 CPUとメモリが最大になるにつれて
• 下流の操業停止 分散したインフラをカスケードする。
• セキュリティ・スキャンツールの失敗 リソースに負荷がかかり、死角が生まれる。 異常なAI
• 解析バグの悪用シンボリックリンクのトラバーサルやパスの悪用を含む。

このように、ミッションクリティカルでオートメーション中心のシステムにおいて、Zip of Deathは依然として関連性のある脅威である。

デモンストレーション死のジップとはどのようなものか

攻撃例1：シンプルな死のZipの作成

以下は、各層が指数関数的に解凍サイズを増加させるネストされたアーカイブを作成する簡単な例である。

バッシュ

#ベースデータの生成 dd if=/dev/zero of=payload.bin bs=1M count=100

recursivelyzip layer1.zip payload.binを圧縮する。

zipレイヤー2.zipレイヤー1.zipレイヤー3.zipレイヤー2.zip`。

この最後の レイヤー3.zip はわずか数キロバイトかもしれないが、素朴に解凍するとディスクとメモリを大量に消費することになる。

攻撃例 2：浅いチェックを回避する深い入れ子

攻撃者は、単純なサイズチェックを回避するために、ディレクトリ内にネストしたzipを埋め込むことがよくあります：

バッシュ

mkdir nestedcp layer3.zip nested/ zip final.zip nested

いくつかの素朴なチェックは final.zip 圧縮されたサイズであり、ネストされたインフレートの可能性はない。

攻撃例3：CI/CD減圧爆弾トリガー

CI環境では：

ヤムル

.gitlab-ci.ymlのbefore_scriptに`#Example snippet'を追加しました：

• unzip artifact.zip -d /tmp/build`.

もし アーティファクト.zip がZip of Deathの場合、ビルドエージェントがクラッシュしたり、リソースの枯渇によりパイプラインが無期限にハングしたりする可能性があります。

攻撃例4：メールゲートウェイの圧縮解除の悪用

メール・セキュリティ製品は、添付ファイルを解凍して内容を検査することが多い：

テキスト

添付ファイル：promo.zip (75 KB)

解凍されたサイズが巨大な場合、スキャンエンジンが転覆し、メール配信の遅延やブロックにつながる可能性がある。

攻撃例5：ZIPパース脆弱性の悪用（PickleScanのクラッシュ）

2025年の勧告では、不正なZIPヘッダーが、リソースの枯渇ではなく、解析の不整合（BadZipFileのようなエラーを引き起こす）によって、スキャンツールをクラッシュさせる可能性があることを明らかにした。 ギットハブ

パイソン

with zipfile.ZipFile('malformed.zip') as z: z.open('weird_header')

これは品質チェックを迂回し、自動スキャンシステムを混乱させる可能性がある。

死のZIPに対する防衛戦略

Zip of Death攻撃を軽減するには 複数の重複コントロール なぜなら、根本的な問題は機能的な問題（解凍そのもの）であり、1つのプログラムのバグではないからだ。

防衛策1：圧縮前のサイズ推定

抽出する前に、予想される総解凍サイズをチェックする。

パイソン

import zipfile with zipfile.ZipFile("upload.zip") as z: total = sum(info.file_size for info in z.infolist())もし total > 1_000_000_000: # ~1GB raise Exception("アーカイブが大きすぎます")

これは破局的な膨張を防ぐのに役立つ。

防衛戦略2：再帰的深度を制限する

ネストされたアーカイブの深さを追跡し、制限する。

パイソン

def safe_extract(zf, depth=0)：

深さ > 3：

raise Exception("ネストされたアーカイブが多すぎます")

for info in zf.infolist()：

if info.filename.endswith('.zip')：

zf.open(info.filename)をnestedとする：

safe_extract(zipfile.ZipFile(nested), depth+1)

防衛戦略3：リソースのサンドボックス化

システムサービスに影響を与えないように、隔離されたカーネルまたはハードクォータ付きのコンテナで解凍を実行する：

バッシュ

docker run --memory=512m --cpus=1 unzip image.zip

アーカイブがリソースを消費しようとしても、そのプロセスには制限がある。

防衛策4：中止条件付きストリーミング抽出

完全抽出の代わりに、チャンク・リードを処理し、早期にアボートする：

パイソン

if extracted_bytes > THRESHOLD: abort_extraction()

これにより暴走的な拡大を早期に食い止めることができる。

防衛戦略5：脆弱なライブラリとツールのアップデート

7-Zip のような既知の解凍ライブラリの脆弱性 (例えば、CVE-2025-11001 や CVE-2025-0411) に積極的にパッチを当て、ZIP 爆弾とトラバーサルやコード実行を組み合わせた解析エクスプロイトを回避する。 セキュリティ・ウィーク

2025年ZIP脆弱性比較表

現在の脅威の状況を整理するために、2025年に見られるZIP関連のリスクのスナップショットを以下に示す：

Penligent.ai:アーカイブ・リスクの自動検出

Zip of Deathや類似のアーカイブ攻撃は、静的スキャンだけでは見つけにくい。 プロトコルいみろん そして 実行時の動作既知のバイト・シグネチャだけではない。そこで ペンリジェント 輝いている。

ペンリジェント は、AIによるインテリジェントなファジングとシナリオ生成を使ってテストを行う：

• 様々なアーカイブサイズとネストされた構造でのエンドポイントのアップロード
• リソース強制のためのバックエンド解凍ロジック
• シンボリックリンクと特殊ヘッダーを含むアーカイブパスの解析
• 危険な入力を黙って受け入れる可能性のあるエラー処理コード

再帰的ネストや不正ヘッダー攻撃のような実際の攻撃パターンをシミュレートすることによって、 ペンリジェント エンジニアは、従来のスキャナーが見逃していたリスクを検出し、優先順位をつけることができます。

多くの独立したコンポーネントでファイル処理が行われるマイクロサービスやクラウドネイティブの環境では、このような継続的な自動テストは、攻撃者よりも先にギャップを見つけるために不可欠だ。

2025年の先進Zip攻撃動向

古典的な減圧爆弾のほかに、2025年には次のようなものがあった。 より微妙なZIPベースの搾取:

• で使用されるZIP解析の欠陥 複合攻撃 (リソースの枯渇＋コードの実行）
• セキュリティ・フィルタをバイパスするホモグリフ偽装アーカイブ拡張子
• 最大アーカイブサイズ」規則を回避するためのネストされたアーカイブの悪用
• ディレクトリトラバーサルを実現するためのシンボリックリンク処理の悪用

これらのパターンは、ZIP爆弾をDOSのトリガーとして単純化した見方が時代遅れであることを示している。 リソース攻撃によるロジックの欠陥.

法的および倫理的考察

Zip爆弾そのものは、作成すること自体は必ずしも違法ではなく、セキュリティ研究者がテストケースとして使用することも多い。しかし、悪意のある意図で(破壊や不正アクセスのために)配布することは、以下のことに該当する可能性があります。 コンピュータの不正利用とDoSに関する法律米国のCFAAや他の司法管轄区における同様の法律など。 リーガルクラリティ

このことは、防衛研究を責任を持って扱い、概念実証を安全な研究室環境で確実に行うことの重要性を強調している。

結論死のジップは過去の遺物ではない-持続するリスクである

高度なマルウェアやAIを駆使した脅威が蔓延する2025年でさえ、「死の郵便番号」は依然として有効である。 ソフトウェア設計の基本的前提減圧が安全であること。

Eメールゲートウェイからクラウドパイプラインに至るまで、最新のオートメーションは、適切なサニティチェックをせずに圧縮ファイルを信頼している。これらの仮定が失敗すると、サービス全体がオフラインになる可能性があります。

プロアクティブな防御を組み合わせ、解析の脆弱性に対するパッチをライブラリに適用し続け、次のようなツールを活用することで、脆弱性を回避することができます。 ペンリジェント 継続的に模擬攻撃を行うことで、セキュリティ・チームはシステムを停止させられる前に、Zip of Death攻撃を阻止することができる。