　SONY BMG MUSIC ENTERTAINMENTは約束通りメールイン方式プログラムにより、問題のXCPコピー防止ソフトを含むCDを交換する策を打ち出した。しかし、エンターテインメントの巨大企業にとって、トラブルの種は尽きることがないようだ。SONY BMGがコピー保護ソフトウェアを削除するために配布しているソフトウェア自体に、新たな問題が発見されたとセキュリティ研究者が指摘している。

　研究者が問題にしているのは、SONY BMGがXCP（Extended Copy Protection）を削除するために配布しているアンインストーラとコピー防止プログラムMediaMaxのために用意されたアンインストーラ。この両方に深刻なセキュリティホールが存在するという。セキュリティ問題が先週はじめに明らかになり、SONY BMGは既にXCPアンインストーラの配布を中止している。

　ところが11月17日、SunnComm Internationalというソフトウェアベンダーが開発したMediaMaxアンインストーラもまたリスクを生じさせると、プリンストン大学でコンピュータサイエンスを専攻する学生、アレックス・ハルダーマン氏が指摘した。SONY BMGはMediaMaxを使うことによりCDの違法コピーを防止しているという。

　「SunnCommが提供しているWebベースのアンインストーラは、SONY BMGの別のDRM（デジタル著作権管理）であるXCPに酷似した、重大なセキュリティホールを開けてしまう」とハルダーマン氏は17日付のFreedom-to-Tinkerブログに書いている。

　SunnCommは同日、MediaMaxの配布を中止しており、ごくわずかのSONY BMGユーザーがこのソフトウェアをダウンロードしたのみだとSONY BMGの広報担当者であるジョン・マッケイ氏は述べている。「そのブログをわれわれが確認してすぐに、SunnCommは掲載を取り下げた」とマッケイ氏。

　このソフトウェアが公開中止されるまでにダウンロードしたのは合計223人と同氏。SunnCommは新しいアンインストールツールを開発中だ。ハルダーマン氏はバグ入りのSunnCommツールを特定し、削除するための方法を自身のブログに掲載している。

　セキュリティベンダーのSecuniaはMediaMaxアンインストーラの危険性を「非常に重大」と評価しており、ハッカーはユーザーを不正Webサイトに誘い込み、この脆弱性を利用してアンインストーラが使われたマシンを乗っ取ることが可能だという。

　SONY BMGはここ3週間、集中砲火を浴び続けていた。その発端はWindows専門家マーク・ルシノビッチ氏がXCPが「rootkit」手法を使っていることを暴いたことだ。rootkitは通常ハッカーが用いるもので、Windowsシステムの中に自分自身を潜ませる方法である。SONY BMGは当初、このソフトウェアはSONY BMGのCDから楽曲をコピーできる回数を制限するソフトウェアだとして弁護していたが、後にその立場を変えた。XCPコードを悪用した悪質な「トロイの木馬」プログラムが登場した後、同社はXCPが組み込まれたCDの製造を中止してリコールすることを約束した。

　トロイの木馬プログラムはウイルスに類似しており、ほかのソフトウェアに偽装して利用者をだまし、コンピュータにインストールさせようとするものだ。

　11月18日、SONY BMGはWebサイトに購入したXCP CDを新しいCDとMP3ファイルに交換するための方法を掲載した。同社はUnited Parcel Service（UPS）のプリペイド発送荷札を使い、XCPが組み込まれた52タイトルのCDをユーザーが返送できるようにした（11月19日の記事参照）。

　XCPタイトルにはセリーヌ・ディオン、ロザンヌ・キャッシュ、ニール・ダイアモンドなどが含まれる。SONY BMGのXCP搭載CDリストには、返送のための方法も記されている。

　Amazon.comではXCP搭載CDを返却したい場合には通常の返品方法を取ることができると問題のCDのページで説明している。「返品理由としては『欠陥品』を選択してください」とAmazonは記している。