特に重要なセキュリティ脆弱性情報 - 2002

Last modified: Tue Jan 21 15:49:09 2003 +0900 (JST)

　数あるセキュリティ脆弱性情報の中でも、龍大でのコンピュータ運用に際して特に重大だと考えられるものについて、ここに記述しています。

■ 2002.12.23

  1. 2002.12.20 にお伝えした Winamp の問題について、オフィシャル情報が公開されていましたので追記しておきました。

  2. Mac OS X 10.2.3 が登場しています。 Apple Security Updates によると、fetchmail の問題と CUPS の問題が修正されています。機能向上のための修正も多く含まれているようです。Mac OS X 10.2.x 利用者はなるべく早く適用してください。

    なお、Mac OS X 10.0.x、10.1.x についてはもはや維持されていませんので、可能な限り早期に OS のアップグレードを行ってください。

■ 2002.12.20

  1. Microsoft 関連のセキュリティアップデートが出ています。

    .MP3 および .WMA ファイルの処理に危険性が存在します。 Windows XP を利用している方は、速やかに適用してください。

  2. 上記と同様の問題が、Winamp 2.81 と Winamp 3.0 に存在する、と報告されています。

    Winamp 3.0 build #488 で修正されていますので、Winamp 利用者は速やかにアップグレードしてください。

    2002.12.23 追記

    オフィシャル情報 Security Fixes For Winamp: Get The Latest And Be Protected (winamp.com) によると、

    If you haven't downloaded Winamp since 12-17-2002 then you are vulnerable to the security exploit.

    とされています。2002.12.17 (これは米国時間でしょう) 以降の Winamp 2.81 / 3.0 にアップグレードすればよいようです。

  3. 先日お伝えした、 Adobe Photoshop Elements 2.0 日本語版に関する重要なお知らせ で示された問題の修正モジュールが登場しています。

    Mac OS 用の Adobe Photoshop Elements 2.0 日本語版を利用されている方は速やかに適用してください。

■ 2002.12.13

  1. Red Hat Linux 用の新しい apache http サーバパッケージが登場しています。

    Red Hat Linux 上で apache http サーバ (www サーバ) を稼働させている場合は、速やかに上記パッケージに更新してください。

  2. アドビから、Adobe Photoshop Elements 2.0 日本語版に重大な欠陥がある旨発表されています。

    Adobe Photoshop Elements 2.0 日本語版を利用されている方はご注意ください。

■ 2002.12.12

  1. Microsoft 関連のセキュリティアップデートが 3 つ出ています。

    このうち MS02-069 と MS02-071 は危険性が高いので、早急に修正プログラムを適用してください。 Windows Update を利用すると、簡単に修正プログラムを適用できます。 Windows Update 利用方法については ウイルス対策の第一歩は Windows Update (Microsoft) を参照してください。

  2. 先日お伝えした MS02-068: Internet Explorer 用の累積的な修正プログラム (324929) は、当初発表されたよりも危険なものであることが判明しています。 IE 5.5 / 6 を利用している方は、至急修正プログラムを適用してください。

  3. McAfee VirusScan 4.5.1 にセキュリティ問題が発見されました:

    ただし、問題となっている機能 (ダウンロードスキャン、インターネットフィルタ) は、標準では有効になっていません。

    瀬田研究推進課 からの貸出パソコンに McAfee VirusScan をインストールしている方で、ダウンロードスキャンやインターネットフィルタを有効にしている方は、これらを無効とするか、あるいは最新の VirusScan HotFix をインストールする必要があります。 HotFix の入手については RA にお問いあわせください。

  4. トレンドマイクロ ウイルスバスター 2002 / 2003 にセキュリティ問題が発見されました:

    上記リンクにおいて修正モジュールが配布されています。ウイルスバスターを利用している方は、忘れずに適用しておいて下さい。

■ 2002.12.05

  1. Microsoft Data Access Components のバッファ オーバーランにより、コードが実行される (Q329414) (MS02-065) の対応として MDAC 2.7 を適用する場合、SQL Server 利用者は MS02-030 (SQL Server 2000)、 MS02-040 (SQL Server 7.0, 2000) 修正プログラムを適用しなければならないことがわかりました。

    これにあわせて 2002.11.26 の記述を更新しました。

  2. 瀬田研究推進課 からの貸出パソコンに McAfee VirusScan をインストールしている方へ: VirusScan のアップデートが必要です。 旧バージョンをアンインストールした上で、VirusScan Ver 4.5.1 インストール手順 に従って version 4.5.1 をインストールしてください。 ダウンロードはこちらから。

  3. Microsoft 関連のセキュリティアップデートが 2 つ出ています。

    先日の Microsoft Data Access Components のバッファ オーバーランにより、コードが実行される (Q329414) (MS02-065) ほど緊急度は高くはありませんが、できるだけ早期に適用してください。

■ 2002.11.28

  1. MDAC 2.7 をインストールすると msxml3.dll というファイルもインストールされるのですが、これが MS02-008 問題を修正済の版よりも古いことがわかりました。 このため、MDAC 2.7 をインストールした後に MS02-008 修正プログラムを適用する必要があります。

    これにあわせて 2002.11.26 の記述を更新しました。

■ 2002.11.27

  1. パッチを無効にされる恐れあり，Windowsの深刻なセキュリティ・ホールを解説する (日経 IT Pro) を参考にして、2002.11.26 の記述を更新しました。

■ 2002.11.26

  1. 先日対応をお願いした Microsoft Data Access Components のバッファ オーバーランにより、コードが実行される (Q329414) (MS02-065) 問題ですが、修正プログラムがうまく適用できない事例があるようです。 また、パッチを無効にされる恐れあり，Windowsの深刻なセキュリティ・ホールを解説する (日経 IT Pro) で詳細に解説されているように、修正プログラムを適用するよりも MDAC 2.7 SP1 をインストールした方が、この問題への対応としては適切です。

    次のように対応してください。

    Windows XP を利用している場合

    Windows XP 利用者にはこの問題は関係ありません。何もしなくてよいです。

    Windows XP を利用していない場合

    MDAC 2.7 SP1 のインストールを強く推奨します。 ダウンロードページ から入手しインストールしてください。 Windows NT 4.0 では SP5 以上 + IE 4.01 SP2 以上、 Windows 98 の場合は Year 2000 Update 2 + IE 4.01 SP2 以上、の環境が必要です。 これは Windows 98 SP1 CD-ROM 相当、と考えた方がよいでしょう。 Windows 98 SE、Windows Me、Windows 2000 には無条件でインストールできます。

    注意: MDAC 2.7 のインストールには、既知の問題がいくつかあるとされていました。 MDAC 2.7 SP1 にも同様の問題が存在するのか、あるいは修正されているのはよくわかりません。 念のため、MDAC 2.7 ダウンロードページ の記述をよく読み、同様のインストール問題が MDAC 2.7 SP1 にもあるものとしてインストールして下さい。 具体的には、MDAC を利用しているアプリケーションを停止させた上でインストールするようにしてください。

    互換性の問題等のために MDAC 2.7 SP1 のインストールを避けざるを得ない場合は、以下を参照してください。 ただし、パッチを無効にされる恐れあり，Windowsの深刻なセキュリティ・ホールを解説する (日経 IT Pro) にあるように、攻撃者は修正プログラムを容易に無効化できます。 この問題が [緊急 - この脆弱性が悪用された場合、Code Red や Nimda のようなインターネット ワームがユーザーの操作なしで蔓延する可能性があります] とランクされていることを考え合わせても、修正プログラムの適用で済ませることは全く推奨できません。

    1. Windows 2000 を利用している場合:

      MDAC 2.5 以降がインストールされているはずですので、修正プログラムを適用してください。

    2. Internet Explorer 5.0x, 5.5, 6.0 を利用している場合:

      MDAC 2.1 以降がインストールされているはずですので、修正プログラムを適用してください。

    3. Internet Explorer 4.0 以前を利用している場合:

      もはや維持されていませんので、IE 5.5 SP2 あるいは IE 6 SP1 をインストールし、 インストールした IE バージョンにあわせた対応を行ってください。

    4. Internet Explorer 6.0 SP1 を利用している場合:

      IE 6.0 SP1 のインストール前に IE 5.0x, 5.5, 6.0 を利用したことがある場合は、 MDAC 2.1 以降がインストールされているはずですので、修正プログラムを適用してください。

      よくわからない場合は、 インストールされている MDAC のバージョンを確認する必要があります。スタートメニューから [検索(F)] → [ファイルやフォルダ(F)...] を選択します。

      検索ダイアログが表示されますので、 [名前と場所] タブを選択し、[名前(N)] に msdadc.dll と入力します。 [探す場所(L)] には C: を指定します。 [検索開始(I)] をクリックして検索します。

      発見された msdadc.dll を右クリックして [プロパティ(R)] を選択し、[バージョン情報] タブをクリックします。 ここで表示された値が

      • 1.50.XXXX.X あるいは 2.0.XXXX.X であれば、 MDAC 1.5 あるいは 2.0 がインストールされています。 MDAC 2.1, 2.5, 2.6 のいずれかを新規インストールした後に修正プログラムを適用してください。

      • 2.10.XXXX.X, 2.50.XXXX.X, 2.6.XXXX.X であれば、 MDAC 2.1, 2.5 あるいは 2.6 がインストールされています。 修正プログラムを適用してください。

    なお、Windows 95、Windows 98、Windows NT 4.0 はすでに「メインストリーム サポートフェーズ」が終了しています (Windows 95 は「延長サポートフェーズ」も終了しています)。 速やかに OS のアップグレードを行ってください。 詳細についてはWindows デスクトップ製品のライフサイクル を参照してください。

■ 2002.11.21

  1. Microsoft 関連の重要なセキュリティアップデートが 2 つ出ています。

    どちらにも重大な問題の修正が含まれています。 この問題を利用したウィルスが登場する前に、対応をお願いいたします。 特に Microsoft IIS の管理者は、早急なる対応をお願いいたします。

    なお、MS02-065 修正プログラムは MDAC 2.1, 2.5, 2.6 に適用可能なものです。MDAC 2.0 以前を利用している場合は、MDAC 2.1/2.5/2.6 へアップグレードした後に MS02-065 修正プログラムを適用するか、あるいは MDAC 2.7 へアップグレードする必要があります。 MDAC のバージョンは、たとえば MDACバージョン確認スクリプト を利用して確認できます。 ただしこのスクリプトは、MDAC 2.0 以前に対してはうまく動かないようです。

    参考: JP231943 - [INFO] Microsoft Data Access Components (MDAC) のリリース履歴、 MDAC インストールの Q & A (Microsoft)

■ 2002.11.05

  1. Microsoft 関連の重要なセキュリティアップデートがいくつか出ています。

    Windows Update を実行して適用してください。

  2. Microsoft からまだ公表されていない、IE 5.5 / 6 にまつわる弱点が 9 つ公開されています。

    IE 5.01 SP2 にはこの弱点はありません。 IE 5.5 SP2 と IE 6 には 9 つの弱点全てが存在します。 IE 6 SP1 には 2 つ弱点が存在します。

    IE 5.5 利用者は、速やかに IE 6 SP1 に upgrade されることを検討してください。IE 6 利用者は、速やかに IE 6 SP1 に upgrade してください。 その上で、問題を回避するためアクティブスクリプトを無効とするよう設定してください。

■ 2002.09.20

  1. Microsoft 関連の重要なセキュリティアップデートがいくつか出ています。

    Windows Update を実行して適用してください。

  2. Internet Explorer 6 SP1 が登場しています。多くのセキュリティ問題の修正の他、より安全な利用のためのいくつかの仕様変更・機能拡張も行われています。 IE 6 ユーザは速やかにインストールされることを推奨しますが、インストールの前に IE 6 SP1 README を参照し、変更点を認識しておいて下さい。 特に、Outlook Express の [ツール] - [オプション] の [セキュ リティ] タブにある

    □ ウイルスの可能性がある添付ファイルを保存したり開いたりしない

    が、SP1 適用後に標準でチェックされるようになる点には注意が必要です。

    IE 5.5 以前を利用しているユーザは、IE 6 SP1 にアップグレードされることを推奨します。 Outlook Express を利用している場合は特に。

  3. Windows XP SP1 が出ています。 SP1 では多くのセキュリティ問題が修正されていますので、できるだけ速やかな適用を推奨しますが、 新着サポート技術情報 を見ると、いくつかの問題も発生しているようです。 インストール済のソフトウェアの XP SP1 対応状況などの情報を入手の上、インストールしてください。

    なお、Windows XP SP1 には Internet Explorer 6 SP1 が含まれています。

  4. すでに旧聞に属しますが、 Windows 2000 SP3 が登場しています。 Windows 2000 ユーザには、できるだけ速やかな適用を推奨します。

  5. QuickTime 5.0.2 for Windows の ActiveX コンポーネントにセキュリティ上の弱点が発見されています。

    修正プログラムは公開されていません。 QuickTime 6 for Windows にはこの弱点はありませんので、QuickTime 6 for Windows へのアップグレードを推奨します。

■ 2002.07.29

  1. Microsoft からいくつかのセキュリティ警告が公開されています。 特に重大なものとしては、以下が挙げられます。

    いずれも patch が配布されていますので、速やかに適用してください。 MS02-042, MS02-046, MS02-047 については Windows Update 経由で適用できますが、 MS02-044 と MS02-048 については (まだ) Windows Update 経由では適用できません。 patch ファイルを手動で入手し、適用してください。

  2. CERT Advisory CA-2002-19 Buffer Overflow in Multiple DNS Resolver Libraries が改訂されています。従来 bind 9 を利用した local caching DNS server を経由させることにより回避可能とされていた問題が、実は回避不可能であることが明らかとなりました。理工学部でもこの回避方法を採用していましたが、これはもはや無効です。 稼働している全てのコンピュータ上で、安全な resolver ライブラリを利用できるようにする必要があります。

    具体的には、多くの Linux や SGI IRIX、Windows、Mac OS X ではこの問題が存在しないか回避可能ですが、BSD UNIX や Sun Solaris, IBM AIX、HP HP-UX などには問題があります。既に各ベンダーから patch が公開されていますので、速やかに適用してください。詳細については CERT Advisory CA-2002-19 Buffer Overflow in Multiple DNS Resolver Libraries を参照してください。

■ 2002.06.24

  1. Apache の弱点ですが、さらにいくつかの fix package が登場しました:

■ 2002.06.21

  1. Apache の弱点ですが、さらにいくつかの fix package が登場しました:

■ 2002.06.20

  1. 昨日紹介した Apache の弱点ですが、1.2.2〜1.3.24 において、64bit UNIX 版や Windows 版 (win32 版) だけでなく、32bit UNIX 版においても外部から任意のコードが実行可能であることが判明しました。すでに攻撃プログラムが開発され、公開されています。極めて危険な状況です。可及的速やかに対応してください。 CERT Advisory も改訂されています。

    いくつかの OS において fix package が登場しています。

■ 2002.06.19

  1. Apache 1.2.2〜1.3.24、2.0.0〜2.0.36 に重大な弱点が発見されました。 外部からの使用不能攻撃の他、64bit UNIX 版や Windows 版 (win32 版) の Apache 1.2.2〜1.3.24 に対しては、外部から任意のコードが実行可能となっており、たいへん危険です。

    この問題点が解消された Apache 1.3.26、2.0.39 が登場しています。Apache 管理者は速やかに更新してください。ftp://ftp.st.ryukoku.ac.jp/pub/network/www/apache/dist/httpd/ から入手できます。各 Linux ディストリビュータからもまもなく対応パッケージが登場すると思われます。

  2. 2002.05.17 にお伝えした MSN チャットコントロールの問題ですが、Microsoft から配布されている修正プログラムが更新されています。

    古い修正プログラムでは全ての問題が解決されないことが明らかになっています。MSN チャットを利用したことのある方、あるいは MSN Messenger / Exchange Instant Messenger 利用者は、速やかに新しい修正プログラムを適用してください。

■ 2002.06.12

  1. Internet Explorer 5.01 / 5.5 / 6、Proxy Server 2.0、ISA Server 2000 における gopher:// プロトコルの扱いに問題のあり、悪意のある web サイトや HTML メール送信者により任意のコードが実行可能であることが明らかになりました。

    まだ修正プログラムが作成されていませんので、回避方法を取る必要があります。理工学部では、proxy/cache サーバ において gopher:// プロトコルを無効化することによってこの問題を一時的に回避しています。 修正プログラムが作成された時点で gopher:// 無効化を取り消しますので、その際には修正プログラムの適用をお願いいたします。

■ 2002.05.31

  1. web ブラウザ Opera の 6.01、6.02 Windows 版に問題が発見されました。 悪意ある web サイトが local file を読むことができてしまうのです。

    6.01 より前のものにはこの問題はありません。 Opera 6.03 で修正されていますので upgrade してください。 6.03 日本語版も出ています。

  2. 先日お伝えした Macromedia のアプリケーションサーバ JRun 3.0、3.1 の Windows 版の問題の追加情報です:

■ 2002.05.30

  1. ソニー、東芝、NEC、日立製の特定の PC にプリインストールされている、ジャストシステム製ソフトウェア「CyberSupport for XX」(XX にはパソコン製品名やメーカ名が入る) にセキュリティ問題があり、悪意ある web ページや HTML 形式電子メールを介した攻撃が可能で、ローカルファイルを変更・破壊される恐れがあります。

    上記リンクに記載されている「対象機種一覧」を参照し、該当する場合は修正プログラムを適用してください。

    問題の詳細: [memo:3945] 「CyberSupport for 各社」にファイル破壊等のセキュリティ欠陥

  2. Windows 版 PostPet 2.05 以前、 PostPet kids 1.01 以前, PostPet ViaVoice 対応版 2.05 以前に問題があり、Internet Explorer と組みあわせて利用した場合に、悪意ある web サイトが任意のコマンドを実行できる可能性があります。

    PostPet 2.06、PostPet kids 1.02、PostPet ViaVoice 対応版 2.06 で修正されていますので、アップデートした上で、添付書類フォルダに保存されている過去の添付ファイルは削除してください。

    問題の詳細: [memo:3953] Windows版PostPetに、添付ファイルが強制起動されるセキュリティホール、 [memo:3956] Re: Windows版PostPetに、添付ファイルが強制起動されるセキュリティホール

  3. Windows NT 4.0 / 2000 に問題があり、任意のローカルユーザが管理者権限を取得できることが明らかになっています。

    マイクロソフトから修正プログラムが配布されていますので、適用してください。

  4. Exchange 2000 に問題があり、「ある状態」(詳細不明) のメールを受信すると、その処理中に CPU 利用率が 100% になってしまい、その間他の機能が妨害されてしまうことが明らかになっています。

    マイクロソフトから修正プログラムが配布されていますので、適用してください。なおこの問題は Exchange 5.5 には存在しません。

  5. Macromedia のアプリケーションサーバ JRun 3.0、3.1 の Windows 版に問題があり、外部からの攻撃により任意のコードを SYSTEM 権限で動作させることができてしまいます。

    最新の JRun 3.0/3.1 用累積 patch を適用すれば、この問題は解決されます。 また JRun 4.0 にはこの問題はないので、JRun 4.0 に upgrade してもよいです。

    関連: NGSSoftware Insight Security Research Advisory: JRun 3.1 Remote System Buffer Overrun

■ 2002.05.20

■ 2002.05.17

■ 2002.05.07

■ 2002.05.01

■ 2002.04.19

■ 2002.04.12

■ 2002.04.02

■ 2002.03.29

■ 2002.03.22

RINS WWW Administrator <www-admin@www.st.ryukoku.ac.jp>