セキュリティホール memo - 2003.02

Last modified: Fri May 16 22:52:09 2003 +0900 (JST)


2003.02.28

anetから誤配メール……個人情報付き
(slashdot.jp, 2003.02.28)

 バックスラッシュやらワイルドカードやらシングルクォートやらを含むメールアドレスだったので、……という話らしい。 参照: #269938#269883

Notes/Domino ねた
(various, 2003.02.18)

 Notes/Domino にやばげな穴がいっぱい。 とりあえず 6.0.1 / 5.0.12 に upgrade したほうがよさげ。

 Lotus Software - セキュリティー情報 (IBM) は watch すべきかな。

総論賛成……各論に懸念続出 出会い系サイト規制法案
(毎日, 2003.02.27)

 出会い系サイト規制法案登場 (全文)。しかし、「出会い系サイト」の定義が

インターネット異性紹介事業 異性交際(面識のない異性との交際をいう。以下同じ。)を希望する者(以下「異性交際希望者」という。)の求めに応じ、その異性交際に関する情報をインターネットを利用して公衆が閲覧することができる状態に置いてこれに伝達し、かつ、当該情報の伝達を受けた異性交際希望者が電子メールその他の電気通信(電気通信事業法(昭和五十九年法律第八十六号)第二条第一号に規定する電気通信をいう。以下同じ。)を利用して当該情報に係る異性交際希望者と相互に連絡することができるようにする役務を提供する事業をいう。

という、あまりに about、どうとでも取れるものであることもあり、さっそく異議が登場している模様。関連:

 もちろん、それだけではないのですが。関連:

コンピュータが SSID をブロードキャストしないアクセス ポイントではなく SSID をブロードキャストするアクセス ポイントに接続する
(Microsoft, 2003.02.27)

原因
すべてのアクセス ポイントは、エリア内に存在する潜在的なクライアントに自分自身を識別させるため、SSID をブロードキャストする必要があります。アクセス ポイントで SSID ブロードキャストを無効にすることは、ワイヤレス ネットワークのセキュリティ保護のために妥当な方法とは考えられません。
状況
この動作は仕様です。

 Windows 的にはブロードキャストは必須、ということかな。

追記

 2003.02.25 の SNS Advisory No.62 Webmin/Usermin Session ID Spoofing Vulnerability "Episode 2" に追記した。Turbolinux, VineLinux fix。FreeBSD ports の様子。

ウイルスバスター 2003 リアルセキュリティ Service Pack 1
(トレンドマイクロ, 2003.02.27 (info from INTERNET Watch))

 待望されていたウイルスバスター 2003 SP1 (プログラムバージョン 10.01) 登場。いろいろ直っているらしい。そろそろ手元のウイルスバスター 2002 も upgrade してみようかな。


2003.02.27

追記

 buffer overrun in zlib 1.1.4[ANNOUNCE] OpenSSL 0.9.7a and 0.9.6i released に追記した。Turbolinux fix。

Windows Me の 「ヘルプとサポート」 の問題によりコードが実行される (812709) (MS03-006)
(Microsoft, 2003.02.27)

 Windows Me に弱点。「ヘルプとサポート」(Help and Support Center (HSC)) が hcp:// 形式 URL を処理する部分に buffer overflow する穴がある。これを利用すると、悪意ある web ページ作成者や HTML メール作成者による攻撃 URL をクリックしてしまうことで、任意のコードが実行される恐れがある。古いバージョンの Outlook Express などでは、クリックすら不要で攻撃コードが自動実行されてしまう場合がある。

 CVE: CAN-2003-0009

2003.02.28 追記:

 詳細: MS-Windows ME IE/Outlook/HelpCenter critical vulnerability

Bypassing Personal Firewalls
(vuln-dev ML, Sat, 22 Feb 2003 06:34:02 +0900)

 personal firewall を乗りこえるプログラムソース (バイナリ)。以下の personal firewall で有効だという:

ZoneAlarm Pro 3.5 (all settings at highest)
Zero-Knowledge Freedom Firewall
Look'n'Stop 2.04
Sygate Personal Firewall PRO (highest settings)
Norton Personal Firewall 2003 (highest settings)

 Sygate については Security Bulletin が出ている: SS20030221-0001 (こっちが正式?)。 こういう原因だそうで:

By allocating memory for malicious code in the address space of a running instance of Sygate Personal Firewall and executing the code as a thread in the context of Sygate Presonal Firewall, it was formerly possible to bypass the ability of the firewall to prevent certain actions.

 Sygate Personal Firewall の Build 1175 より前のものにはこの弱点がある。 最新版では修正されているので、http://soho.sygate.com/free/default.php から get すればよい。 Sygate Security Agent の build 1152 より前にもこの問題があり、 これについては Sygate Enterprise Support Representative に連絡する。

 Sygate のセキュリティ情報は Sygate Product Forums > Announcements and Forum Rules > Announcements にあるようです。

[VulnWatch] Secunia Research: Opera browser Cross Site Scripting
(VulnWatch, Wed, 26 Feb 2003 18:24:20 +0900)

 Windows 版 Opera 7.01 以前、Linux 版 Opera 6.x に弱点。"Automatic redirection" が無効になっている場合 (デフォルトでは有効) に、redirection を表示するために生成される一時ページに問題がある。サニタイジングが一切されていないため、悪意あるコードの挿入が可能であり、cookie 漏曳やセッションハイジャックなどが発生する恐れがある。

 Opera 7.02 で修正されている。また、"Automatic redirection" が有効であれば回避可能と考えられる。

MSがWindowsUpdateを濫用?
(slashdot.jp, 2003.02.27)

 一部で話題になっていた「Windows Update は 80/tcp だけじゃなく 443/tcp も使っている」という話の、443/tcp の中身の話題。しかし、元記事にある "A large banner..." は、現在広く利用されているはずの v4.windowsupdate.microsoft.com につながるやつではなくなっているんですけどねぇ……。 これは便利だ。 (slashdot.jp) にあるのは v4.windowsupdate.microsoft.com につながるやつの privacy policy ですね。

 もしかして、"A large banner..." が出るやつでも実際には送ってる……という話なんだろうか。でも "A large banner..." は 443/tcp は使ってないと思うのだが……。


2003.02.26

008: SECURITY FIX: February 25, 2003
(OpenBSD, 2003.02.25)

httpd(8) leaks file inode numbers via ETag header as well as child PIDs in multipart MIME boundary generation. This could lead, for example, to NFS exploitation because it uses inode numbers as part of the file handle.

 OpenBSD に入っているのは Apache 1.3.x ベースのようですが、この修正は純正 Apache 1.3.27 にも必要なのかなあ。

buffer overrun in zlib 1.1.4
(bugtraq, Sat, 22 Feb 2003 09:05:47 +0900)

 zlib 1.1.4 の gzprintf() (gzio.c) に弱点。引数が Z_PRINTF_BUFSIZE (4096) バイトより長いと buffer overflow してしまう。 HAS_vsnprintf が define されていると vsprintf() のかわりに vsnprintf() が利用されて buffer overflow は防ぐことができるが、 これはデフォルトでは define されていないし、ドキュメントにも書かれていない。 デモプログラムが添付されている。 FreeBSD に入っているものは -DHAS_snprintf -DHAS_vsnprintf でつくられているみたいだ。

 CVE: CAN-2003-0107

fix / patch:

追記

 2003.02.20 の [ANNOUNCE] OpenSSL 0.9.7a and 0.9.6i released に追記した。OpenBSD, FreeBSD, Debian GNU/Linux patch。 FreeBSD は出しなおされている。

Slammer ねた
(Microsoft)

マシンに潜む“害虫”ソフト、急繁殖
(ZDNet, 2003.02.25)

 だそうです。SpybotAd-aware Standard Edition は無料で利用できますね。

APPLE-SA-2003-02-25 Mac OS X 10.2.4 Server
(apple, Wed, 26 Feb 2003 02:45:11 +0900)

 Mac OS X 10.2.4 Server 固有:

 Mac OS X 10.2.4 と共通:

追記

 2003.02.25 の SNS Advisory No.62 Webmin/Usermin Session ID Spoofing Vulnerability "Episode 2" に追記した。exploit 出てますね。

[memo:5464] 安全なパスワードリマインダーとは
(memo ML, Mon, 24 Feb 2003 23:23:03 +0900)

 web ベースのシステムなどでみかける「パスワードリマインダー」はどうあるべきか、というスレッド。 個人的には、質問を自由に入力できるようにすると、間違えてパスワードを入れてしまうという事例 [memo:5482] が興味深かったです。


2003.02.25

SNS Advisory No.62 Webmin/Usermin Session ID Spoofing Vulnerability "Episode 2"
(bugtraq-jp, Mon, 24 Feb 2003 14:30:26 +0900)

 Webmin 1.060, Usermin 0.990 に弱点。miniserv.pl において、 管理ユーザ admin がログイン済みだという偽セッション ID を発行ことが可能となっていた。Webmin 1.070, Usermin 1.000 で修正されている。

2003.02.26 追記:

 exploit 出てますね: Webmin 1.050 - 1.060 remote exploit (bugtraq)。 ほんとうに使えるかどうか知りませんが。

2003.02.28 追記:

 FreeBSD の ports/sysutils/webmin も 1.070 ベースになっている。が、 ports/sysutils/usermin のほうはまだ 0.990 ベースのようだ。 patch が追加された様子もない

2003.04.03 追記:

追記

 2003.02.24 の 西武百貨店の危ない無線POS,クレジットカード情報が見えた ——対策は2003年1月末に完了 に追記した。関連記事を追加。


2003.02.24

Tea Room for Conference No.1279
(Tea Room for Conference, 2003.02.21)

 XOOPS さん、どうやらだめだめらしいです。

JANOG11「論」ミーティング プログラム
(JANOG ML, 2003.02.20)

 JANOG11 のプレゼン資料とログが公開されています。 セキュリティ関連話もそこかしこにあるようで。

 JPCERT/CC Update log にあるように、JPCERT/CC では業務拡張のため人材を募集中だそうです。 興味ある方は連絡してみてください。 ただし、血の気の多い人には向かないらしいです。 たとえば、新しいツールが出たとたんに使ってみたくなるような人や、先日の Slammer 祭で「キタ━━━━(゜∀゜)━━━━ッ!!」と喜んでしまう人には向かないらしいです。 モラルの高い人がほしいらしいです。 スキルはあまり問われないそうです。

サービスプロバイダ11社に「安全・安心マーク」の使用を許可(インターネット接続サービス安全・安心マーク推進協議会)
(netsecurity.ne.jp, 2003.02.20)

 うーん……

同マークがあるサービスは、ユーザ対策やセキュリティ対策などが、一定基準以上をクリアしていることを示している。

 安全・安心マークは、必須項目全て + 推奨項目 110 点中 80 点以上を獲得する (isp-ss.jp) と公布されるそうで。 で、たとえば必須項目には

6-2-1 会員に対して、最新のウィルスの情報を発信していることの確認

なんてのがあるわけですが、たとえば No.49 マンダラネット では、どこでどのように行われているのか、私にはさっぱりわかりません。多分会員の方にはわかっていらっしゃるのでしょうが。 またたとえば No.32 WAKWAK には セキュリティ情報というページがあって top からも link されているのですが、『2002.10.04:「W32/Bugbearに関する情報」』が最新でいいんですか? と思ったりするわけで。

 公布するのはいいのですが、せめて、「必須項目は XX のように行っている」「推奨項目については XX を XX のように行っている」 ことが各プロバイダで明示されていないと、とてもじゃないが「一定基準」などとは言えないと思ったりします。

CERT Advisory CA-2003-06 Multiple vulnerabilities in implementations of the Session Initiation Protocol (SIP)
(CERT/CC, 2003.02.22)

 Session Initiation Protocol (SIP) を実装した複数ベンダーの機器のいくつかに複数の弱点。DoS や認可されない権限の取得などが可能になる場合がある。具体的には、現時点では CISCOIPtel や Nortel の Succession Communication Server 2000 に問題があることが明らかになっている。 PROTOS Test-Suite: c07-sip から Java で動作するテストツールを入手できる。

 SIP は VoIP などで利用されているプロトコルなのかな。

 NEC は iExpress5800シリーズ (NEC プレスリリース) というものを 2003.03.01 から出す予定のようだけど、これはどうなのかな。 しかし、 ここ の [さらに詳しい情報] をクリックしても、どこにも情報がないという状況はなんとかならないのかしらん。

 関連: Vendor Status Note JVNCA-2003-06 Session Initiation Protocol (SIP) の実装に複数の脆弱性 (JPCERT/CC JVN)

2003.04.17 追記:

 Internet Navigware Live オプションのSession Initiation Protocol(SIP)の実装における複数の脆弱性 (2003年4月17日) (富士通)。 富士通の Internet Navigware Server Enterprise Edition LiveオプションV7.0 にこの問題があるそうで。patch はまだない。

 CERT Advisory CA-2003-06 邦訳版 (LAC)。

西武百貨店の危ない無線POS,クレジットカード情報が見えた ——対策は2003年1月末に完了
(日経 IT Pro, 2003.02.21)

 西武百貨店では暗号化されていない無線 LAN POS システムを使っていたので、 無線 LAN を傍受するだけでクレジットカード情報などを誰でも get できていた、という話。「2年に1回はセキュリティの監査を受け,サーバーに保管している顧客情報やその他の重要情報が危険な状態にさらされる恐れがないかもチェックしている」にもかかわらず、このような弱点の存在を見逃してしまっていた、というのも頭の痛い話。 西武百貨店ではすでに対応されているが、他社にも同様事例が存在する可能性がある。 無線 LAN を利用した業務システムを構築・運用している場合は、ぜひ今一度状況を確認されたい。

 日経ネットワークセキュリティ〜無線LANパニック〜 にはより詳しい記事と傍受データの画像などがあるので、興味ある向きは参照されたい。

 西武百貨店、無線POSの平文通信を知りながら即時回避策とらず (slashdot.jp)。 作ったところはここかな? (slashdot.jp) にある マルチメディアPOSからWeb POSそして更に未来の小売業へ (NCR) には「1996年秋から1997年にかけて行なわれた西武百貨店に導入戴いた」とありますねえ。 さらにその前には「1996年春、無線 LAN(WaveLAN)を用いた流通業界初の大規模模なPOSワイアレス・システムを伊勢丹府中店に導入いただき」とあるわけで、 だいじょうぶか伊勢丹?! という気も。

2003.02.25 追記:

 西武百貨店の無線POS事件,問題の本質を考える (日経 IT Pro)。


2003.02.22

追記

 2003.02.19 の Oracle ねた に追記した。JVN, LAC CERT Advisory 邦訳版への link を追加。


2003.02.20

追記

 2003.02.19 の [memo:5237] XSS脆弱性によりBasic認証のパスワード情報が漏えいする に追記した。TRACE を使う方法は TRACE を無効にすることにより回避できる。

「動かないコンピュータ」の新たな火種——亜鉛ウイスカ騒動が20年ぶりに再燃
(日経 IT Pro, 2003.02.19)

 緊急セミナ「Znウイスカによるコンピュータ不具合問題の真相」 (2003.02.28, 東京都千代田区, 2/21 までは 19,800円) というのも開かれるのだそうです。 あと、『日経エレクトロニクス』2003年1月6日号に記事があるらしいです。

HP-UX Bastilleのアナウンス
(HP, 2003.02.17)

Bastilleは、HP-UXオペレーティングシステムのセキュリティを拡張するのに使用可能な、セキュリティ強化/ロックダウンツールです。

 HP-UX Bastille B.02.00.05 以降は http://www.software.hp.com/cgi-bin/swdepot_parser.cgi/cgi/displayProductInfo.pl?productNumber=B6849AA から入手できるそうです。

 また、HP-UX Bastille B.02.00.00 には SSRT3450 HP-UX Bastille sendmail.cfの問題というものが存在するそうですのでご注意。

追記

 2003.02.19 の Oracle ねた に追記した。CERT Advisory CA-2003-05 Multiple Vulnerabilities in Oracle Servers 登場。

[VulnWatch] [SCSA-005] Proxomitron Naoko Long Path Buffer Overflow/DoS
(VulnWatch, Thu, 20 Feb 2003 05:23:33 +0900)

 Proxomitron Naoko 4.4 以前に、長大なコマンドライン引数で buffer overflow する問題があるという指摘。

SecurityFocus Newsletter #183
(bugtraq-jp, Wed, 19 Feb 2003 22:44:08 +0900)

 SecurityFocus Newsletter #183 2003-2-3->2003-2-7。 テキスト版はこちら

[ANNOUNCE] OpenSSL 0.9.7a and 0.9.6i released
(bugtraq, Wed, 19 Feb 2003 23:40:36 +0900)

 OpenSSL 0.9.7 / 0.9.6h 以前に弱点。 ssl3_get_record 関数において、タイミングに起因する少量の情報漏曳が発生。 もうすぐ出る論文によると、SSL / TLS における CBC 暗号化方式に対してタイミングベースの攻撃が可能だという。 OpenSSL では 0.9.6c 以降において「block cipher padding errors」を利用した攻撃には既に対応していたが、「MAC verification errors」を利用した攻撃には対応されておらず、タイミングベースの攻撃を受けてしまう。OpenSSL 0.9.7a / 0.9.6i では MAC 計算が改良され、タイミングによる情報漏曳が最小化されている。

 Advisory: OpenSSL Security Advisory [19 February 2003]: Timing-based attacks on SSL/TLS with CBC encryption (openssl.org)。Advisory に添付されている patch は OpenSSL 0.9.6e 以降に適用できる。 こがさん、石附さん情報ありがとうございます。

 CVE: CAN-2003-0078

2003.02.20 追記:

 セキュリティーホールmemoはちょっと違う? (slashdot.jp)。 すまん。理解しきれないまま書いているのは確かだ。

2003.02.26 追記:

2003.02.27 追記:

2003.04.03 追記:


2003.02.19

Oracle ねた
(VulnWatch など)

 データベース実行権限 (oracle / local SYSTEM) で任意のコードが実行可能な穴も含まれています。多くについては fix が出ていますので、適用しましょう。 (一部 Planned なものもあるようで)

2003.02.20 追記:

2003.02.22 追記:

VISA/MasterCardの顧客情報500万人分がクラッキングで流出
(slashdot.jp, 2003.02.19)

 すごい数ですが、みんな同じ会社を使っていた、という点こそがとてもアレな気が。

Fw: f-prot antivirus useless buffer overflow
(vuln-dev ML, Fri, 07 Feb 2003 03:51:00 +0900)

 from vendor: Vulnerability reported in F-Prot Antivirus for Linux fixed。 F-Prot Antivirus for Linux / FreeBSD 3.12b に弱点。 長大なファイル名により buffer overflow する。

 3.12d で修正されている。

[memo:5237] XSS脆弱性によりBasic認証のパスワード情報が漏えいする
(memo ML, Sun, 26 Jan 2003 04:17:28 +0900)

 XSS 穴があり、かつ HTTP の TRACE メソッドが利用可能な状態だと、 Basic 認証利用時に、パスワードが盗まれるかもしれない、という話。 さらに、状況によっては TRACE メソッドすら必要ないとフォローされている [memo:5419]

2003.02.21 追記:

 TRACE を使う方法は TRACE を無効にすることにより回避できる。 Vulnerability Note VU#867593: Multiple vendors' web servers enable HTTP TRACE method by default によると、Apache は mod_rewrite で、IIS は URLScan で無効化できるそうだ。 また Sun Alert ID: 50603 - Sun ONE/iPlanet Web Server Enable HTTP TRACE Method by Default には、Sun ONE/iPlanet Web Server における無効化方法が記載されている。 (しまった、JWNTUG Newsletter は書き方が悪かった……)

追記

 おくればせながら、2003.01.20 の IEのCookieをオフにしても有効なCookieモドキ に追記した。UserData は Windows Update の「カスタマイズ」で利用されているそうです。

SecurityFocus Newsletter #179〜182
(bugtraq-jp)

 HTML 版:

 テキスト版:

PHP Security Advisory: CGI vulnerability in PHP version 4.3.0
(various)

 PHP 4.3.0 の CGI 版に弱点。 CGI バイナリへの直接アクセスを抑止する configure オプション --enable-force-cgi-redirect および php.ini の cgi.force_redirect がうまく動作しない。 このため、PHP CGI モジュールを利用している web サーバにおいて、 remote user が web サーバ権限で読める全てのファイルにアクセスできる。 さらに、CGI によってアクセス可能なファイルにコードを挿入することにより、 任意の PHP コードを実行させることも可能。このファイルには web サーバのアクセスログが含まれる。

 PHP 4.3.1 で修正されている。また、apache モジュール版にはこの問題はない。

 麗美さん情報ありがとうございます。

SNS Advisory No.61: Symantec Norton AntiVirus 2002 Buffer Overflow Vulnerability
(bugtraq-jp, Wed, 19 Feb 2003 13:56:12 +0900)

 Norton AntiVirus 2002 (バージョン 8.07.17C) の受信メールスキャン機能に問題。 長大なファイル名を含むアーカイブファイルが添付されたメールのスキャンで buffer overflow するため、悪意あるメール送信者が任意のコードを実行可能。

 対応するには、LiveUpdate で最新の状態にすればよい。

『SQLスラマー』の兆候を早期に察知していたシマンテック
(WIRED NEWS, 2003.02.17)

 Slammer が爆発したのは 2003.01.25 14:30 ごろなのですが、DeepSight はこの 30 分前に警告を出したのだそうで。で、なんで自分達だけで囲ってたんやと言ってる人がいる、と。まあ、「儲けるチャンスキター」と思ったら囲むわなあ。 あるいは、ここまで大事になるとは思っていなかった、とか。

 malta さん情報ありがとうございます。

サイバーテロに備え総合対策——経産省、主要産業別に防御センター
(日経, 2003.02.18)

 最初だけ読むと決定事項のように見えるけど、実態は「新たに設立を目指」している段階の模様。 日経 2003.02.18 朝刊の記事自体はかなり長いので、可能ならばそちらも参照。 日経 2003.02.01 夕刊話も、新聞記事はもっと長いみたい。 (なんかセコいぞ > 日経)


2003.02.17


2003.02.14

UNIX fixes
(various)

Red Hat Linux
Debian GNU/Linux
FreeBSD

Windows リダイレクタの未チェックのバッファにより権限が昇格する (810577) (MS03-005)
(Microsoft, 2003.02.06)

 Windows XP に弱点。Windows リダイレクタに長大なパラメータが渡されると buffer overflow してしまい、 local からの DoS 攻撃や local SYSTEM 権限での任意のコードの実行が可能となる。 remote attack はできない。

 patch があるので適用すればよい。 KB 810577 によると、実際に修正されるのは %Windir%\System32\Mrxsmb.sys というファイルだそうだ。

 CVE: CAN-2003-0004

2003.03.28 追記:

 [VulnWatch] NSFOCUS SA2003-01: Microsoft Windows XP Redirector Local Buffer Over flow Vulnerability


2003.02.13

Internet Explorer 用の累積的な修正プログラム (810847) (MS03-004)
(Microsoft, 2003.02.06)

 IE 5.01, 5.5, 6 に弱点。クロスドメインセキュリティに関する 2 つの弱点がある。

 patch があるので適用すればよい。ただし:

 この patch は [memo:5191] 81084 IE累積修正 で騒がれた謎 patch の本物だ。謎版 (修正プログラム候補、だそうだ) をインストールしてしまった場合は、本物版を手動インストールすればよい。謎版をインストールしてしまった場合は、本物版は Windows Update に表示されないので注意。

 この patch には副作用があり、 適用すると window.showHelp( ) が機能しなくなる。再び機能させるには、 Window.showHelp() メソッドで呼び出されたときの機能を制限するための HTML ヘルプ の更新 (811630) を入手し適用しなければならない。

 IE 6 SP1 ではさらに副作用があり、「購読ベースの Web サイトや MSN 電子メールなど、特定のインターネット Web サイトに認証できなくなる可能性があ」るのだそうだ。 February 2003, Update for Internet Explorer 6 SP1 (813951) を適用しておく必要がある。

 KB: [IE] [MS03-004] Internet Explorer 用の累積的な修正プログラム (2003 年 2 月)

2003.02.19 追記:

 さらなる副作用: 814803 - MS03-004 適用後 Outlook Express が正しく動作しない (Microsoft)。これまた IE 6 SP1 の場合だ。

2003.04.25 追記:

 814895: MS03-004 の修正モジュールの適用後に発生する現象について (Microsoft)。 MS03-004 patch による副作用は MS03-015 patch で修正された。

Oracle ねた
(Oracle)

 Oracle ねた。

Slammer ねた
(various)

 いつまで続くんでしょう。

rootkitによるクラッキングとその防御 第2回 ログファイルの改ざん (1/4)
(ZDNet, 2003.02.12)

 今回は、ニセ syslogd の設置やログファイル自体の改ざん。 やっぱ rootkit でひとしきり遊んでみないといかんなあ。

追記

 2003.01.27 の 連載:不正侵入の手口と対策 第5回 仕掛けられたバックドアの検出と対処 に追記した。2003/2/10 付で改訂されています。

大逆転のクレーム処理術
(日経 BizTech, 2003.02.11)

 コンピュータセキュリティインシデント対応でも全く同じですねえ。


2003.02.10

Windows版「Opera 6.05」にバッファオーバーフローの脆弱性発見 〜最新版「Opera 7.01」で解決している
(INTERNET Watch, 2003.02.10)

 少なくとも Windows 版 Opera 6.05、7.0 beta 2 に、長大な user 名を含む URL によるバッファオーバーフロー穴が存在。Windows 版 7.0 final 以降では修正されている。他のプラットホーム (Mac, UNIX) での状況は不明。

ファイル共有ソフト「Winny」の旧バージョンにセキュリティホール 〜最新版「1.07」で解決されている
(INTERNET Watch, 2003.02.10)

 ファイル共有ソフト Winny 1.06 以前に弱点。Winny に含まれる HTTP サーバ機能に XSS 穴があるため、これを利用すると任意のコードをイントラネットゾーン権限で実行させることが可能になる可能性がある。

 Winny 1.07 で修正されている。また、指摘者の高木氏は「この事例から得られる一般的教訓」として

ユーザ:
 ローカルで動作するサーバを知らないうちにインストールしてしまっている可能性を想定し、「localhost」を「制限付きサイト」ゾーンに登録しておくとよい。

を挙げている。

 参照: [memo:5410] Re: Winny

終らない Slammer ねた
(various)

 さて、ほんとうに訴訟になるんですかねえ。

Slammer対策のポートフィルタリングでDNSに悪影響も 〜JPRSが注意呼びかけ
(INTERNET Watch, 2003.02.10)

 単純なフィルタではまずい場合があり得る、という話。 src = 53/udp, dst = 1434/udp を通した上で、dst = 1434/udp をフィルタしよう。 Windows の場合は、アレな port は 登録済みポートを一時ポートとして使用させない方法 (Microsoft) で reserved port 扱いにしてあげるといいのかなあ。

本家インタビュー:ケビン・ミトニック
(slashdot.jp, 2003.02.08)

 もうひとりのケビン、ケビン・ポールスン氏は既にさまざまに活躍していらっしゃいますが、ミトニック氏の活躍も期待していいのかな。やったこと自体はポールスン氏の方がはるかにスゴいと思うけど。天才ハッカー「闇のダンテ」の伝説 (ひでぇ邦題だよな。原題は The Watchman) って、入手困難みたいですね。いかんなあ。 FBIが恐れた伝説のハッカー (最低な邦題だよな。原題は The Fugitive Game) は容易に入手可能なようなのに。

 思い出した言葉: FREE UNYUN。


2003.02.09


2003.02.07


2003.02.06


2003.02.05

いろいろ
(various)

[VulnWatch] Apache Jakarta Tomcat 3 URL parsing vulnerability
(VulnWatch, Thu, 30 Jan 2003 19:55:15 +0900)

 Tomcat 3.3.1 以前に弱点。NULL いりリクエストを送ることによって、index.html や index.jsp があっても、remote からディレクトリ一覧を取得できてしまう。

 fix された Tomcat 3.3.1a が登場している。麗美さん情報ありがとうございます。 CVE: CAN-2003-0042

Java ねた
(memo ML)

いつになったら終るんだろう Slammer ねた
(various)

Opera 7に多数のセキュリティホール
(slashdot.jp, 2003.02.04)

 とりあえず、上記 link の jbeef さんの解説読んでください。 既に Opera 7.01 が登場しているようなのだけど、直っているんですかねえ。あいかわらず Opera って web page みても状況がサッパリわからないし。

 報告のタイトルがおもしろいので link 載せておきます。

2003.02.07 追記:

 7.01 で直っているようです。

 しかし、説明が何もない点についてはあいかわらず直ってないね、この会社は。

JPCERT/CC Vendor Status Notes
(JPCERT/CC, 2003.02.05)

 from JVN 解説ページ:

国内で利用されているソフトウェアや装置を対象とした、国内の各ベンダが提供する対策情報や更新情報を主体にまとめあげたサイト

です。CERT Advisory に対応する情報を公開されたら、ぜひ jvn@doi.ics.keio.ac.jp へ知らせてあげてください。JVN ワーキンググループにご参加頂けると関係者的にはよりうれしいかと。一覧ページ を見るとわかるように、2002 年分もつくられています。

 結局、署名は分離されたのですね。


2003.02.04

奥天の! セキュリティ川柳道場: 第 2 回のお題「ウィルス」
(Microsoft, ?)

 そういえば、Klez っていまだに来ますねえ。Slammer みたいな爆発的なものは収まるのも早いけど、Klez みたいになんとなくひっそり進行するものはなかなか根絶されませんねえ。

 第 3 回のお題は「セキュリティホール」だそうです。


2003.02.03

もっと Slammer ねた
(various)

追記

 2003.01.31 の 世界規模で報告されたネット障害についての総括レポート 〜Slammerワームによる被害について〜 に追記した。関連記事を追記。

IE 関連の問題
(新着サポート技術情報)


[セキュリティホール memo]
私について