セキュリティホール memo

各セキュリティベンダー、Blasterウイルス対策CD-ROMを55,000枚用意～東京の量販店では開店前に長蛇の列 (INTERNET Watch)。

当初20万枚の配布を予定していると発表したマイクロソフトでは、「20万本の配分については検討中」としている。

RAV AntiVirus のパワーを利用して……という筋書きは、今はまだ無理なのかなあ。
大学新入生に個人情報を保護することの大切さを教えるゲーム (WIRED NEWS)。おもしろそう。
[PRB] ウイルス対策ソフトウェアが原因で IIS が突然停止することがある (Microsoft)。ウィルス定義ファイル 4265 以前、な話をいまごろされても、ねぇ……。賞味期限切れすぎ。
米でBlasterの亜種を作成、流布した18歳の容疑者逮捕 (INTERNET Watch)。おおもとの MINNEAPOLIS, MINNESOTA MAN ARRESTED FOR DEVELOPING AND RELEASING B VARIANT OF BLASTER COMPUTER WORM (usdoj.gov) と、さらにおおもとの http://www.usdoj.gov/usao/waw/press_room/2003/aug/pdf_files/blaster.pdf も参照。最後の PDF 文書は読みものとして読んでも興味深いと思います。
[セキュリティ]お勉強 (ハニーポッターの部屋)。山崎氏は、いろいろな意味でアクティブなお方のようですね。

結局、一番問題だったのは、世間一般のセキュリティの考えとセキュリティ技術者が考えるところのギャップを最後まで埋められなかったこと。

競技内容が事前に煮詰められていなかった → プレスリリースに盛り込みきれなかった → ただでさえ勘違いしがちな一部マスメディア (aka 朝日新聞) の勘違いを防げなかった、という感じなのかなあ。「はじめに高校生ありき」の主催側もまた勘違いだろうとは思うけど。
平成 15 年度「防災の日」総合防災訓練について (防災情報のページ)。自衛隊・消防・警察の連携具合って、最近はマシになってきているんだろうか……。いろいろな状況に対処する意味でも、連携できてくれないと困りますよね。

■ 2003.08.27

そうそう、8/28 と 8/29 は、このページの更新はありません。明日は Windows Update の日だけど、だいじょうぶかなあ……。
だめだ……つながらないよ > はてな。 ……あ、つながった。
シャトルねた:
- 米コロンビア事故の最終報告書発表　安全軽視姿勢を指摘 (asahi.com)
- シャトル打ち上げ再開、来夏以降か　米メディア報道 (asahi.com)
- 「別シャトルで救出可能だった」　コロンビア事故調査委 (asahi.com)
- コロンビア事故調査委員会最終報告書 (slashdot.jp)
FBI、ウイルス作者の追及に「自信あり」 (ZDNet)。
株式会社シマンテック、ネットワーク侵入防止機能を強化した Symantec ManHunt 3.0を発表 (シマンテック)。

プロトコル異常検知機能は、新種の脅威や既存の脅威の変種、ポリモーフィック型の脅威などの識別と対応を可能にするもので、通信データの構造と内容に注目することにより、未知の攻撃や新種の攻撃の検出を実現しています。近年の脅威は、HTTP、FTP、RPC、SMTP、DNSといったアプリケーション・プロトコルを狙うものが少なくありません。Symantec ManHuntはプロトコルの規範ルールに基づき、想定外のデータ、余分な文字、無効な文字、バッファ・オーバーフローを起こし得る状態といった、プロトコルに違反するトラフィックを識別します。この種の攻撃はシグネチャだけに基づいた侵入検知方式では検知できませんが、Symantec ManHuntならプロトコル異常として検出してレポートしますので、新種の脅威にも余裕を持って対応できます。
SecurIT の URL が http://securit.gtrc.aist.go.jp/ に変更されたそうです。高木さん情報ありがとうございます。
「邪悪な文章」を書いたことで処分される生徒たちが続出 (WIRED NEWS)。唖然……。
和歌山県警の「メール110番」、聴覚障害者らに好評 (毎日)。
白田秀彰の「インターネットの法と慣習」第３回　自力救済と紛争解決、第４回　名誉と自力救済、そして法。匿名を多用するのは、個人的には好きになれない。が、古来から「ペンネーム」というものはあったわけで。
Visual Basic スクリプトを使用してリモートホストコンピュータにセキュリティ修正プログラム 823980 (MS03-026) をインストールする方法 (Microsoft)。
相次ぐソフト脆弱性で浮上するメーカーの責任問題 (ZDNet)。
トレンドマイクロ、ISP会員向けWebフィルタリングソフトを発売 (INTERNET Watch)。
米Symantec、「Norton AntiVirus 2004」発表～スパイウェアにも対応 (INTERNET Watch)。NAV 2004 では Blaster をちゃんと削除できるようになるんだろうか。
米軍の裏金と永遠のテロ戦争 (tanakanews.com)。 1 兆ドルですか……。帝国は強いわけだ。
州最高裁裁定：DVDの暗号解読コードは言論の自由の対象外 (WIRED NEWS)。全員一致ですか……。帝国は強いわけだ。
OSSTMM - Open Source Security Testing Methodology Manual。一部、INCOMPLETE って書かれてるなあ。
JSOC レポート (LAC) というページがあるんですね。西村さん情報ありがとうございます。
2003-09-04: 第4回 LBIセミナー　- セキュリティ市場と技術の動向、 2003.09.04、東京都港区、￥2,000-。

■ 「ウイルスチェイサー」使用時にユーザープロファイルが破損する不具合が発覚 Windows NT 4.0のNTFS環境で発生する可能性があるので注意
(窓の杜, 2003.08.26)

　正式告知: WindowsNTをご利用のユーザー様へ重要なお知らせ (viruschaser.jp)。Windows NT 4.0 + NTFS の場合にのみ問題が発生する模様。

この度、ファイルシステムがNTFSのWindowsNT4.0環境の一部のネットワークドライバとウイルスチェイサーの最新バージョン(C464V1467以上)に競合問題が発生する可能性が確認されました。

　であるなら最新でないバージョンへダウングレードすれば回避できるような気がするのだが、なぜそれを実施できないのだろう。 Windows がクラッシュする原因の半分はアンチウィルスソフトとの競合だそうなので、こういう話は珍しいわけはないと思うのだが。

　関連: ウイルス対策ソフト「ウイルスチェイサー」のバックアップソフト添付版 (INTERNET Watch)。マッチポンプのつもりはなかったのだろうが、このタイミングは……。

2003.09.02 追記:

　「ウイルスチェイサー」の競合問題を解消した最新版がリリース (窓の杜)。

■ Blaster ワーム対策方法 - Windows Embedded 製品
(Microsoft, ?)

　Windows NT Embedded / XP Embedded に対応した Blaster ワーム情報。

■ [postfix-jp:03215] osirusoft rbl
(postfix-jp , Wed, 27 Aug 2003 15:00:17 +0900)

　relays.osirusoft.com さんはおもいっきり壊れているようです。その結果、relays.osirusoft.com を参照して spam 対策をしていた人は、予期しない結果を得る場合が多々ある (あらゆる mail の受信を拒否してしまう、など) ようです。各地の ML において、relays.osirusoft.com を参照しているためとおぼしき受信拒否が観測されている模様です。

　対策としては、relays.osirusoft.com さんの参照を停止すればよいようです。

　匿名希望さん情報ありがとうございます。

■ 危険なクレジット・カード伝票，なぜ国内では対策されないのか
(日経 IT Pro, 2003.08.26)

　「IC カード対応と同時に、そちらについても対応を進めています」ならまだ話はわかるのだが、そういうわけでもなさそうですね。うーむ……。

認識が甘いのはカード会社ばかりではない。インターネット・プロバイダや電話会社なども，料金の明細書に，引き落とし口座番号の数字すべてを印字しているところが多い。これも，すぐさま“バッテン表示”に変えてほしいところだ。

　ねぇ > cbook24.com。「お支払い方法がクレジットカードの場合は「カード番号」が印刷されますので保管する際には十分にご注意ください」なんて表示する前に、やるべきことがあると思うのですけど。

■ 普及の見通し立たない住基カード住基ネットの全面活用は遠い
(日経 IT Pro, 2003.08.12)

こういった意見に対して、総務省の馬返理事官は「住基ネットのセキュリティには十分注意している。全国の地方自治体のシステム担当者や住民基本台帳の管理業務担当者などを対象としたセキュリティ説明会を開催するなどの対策も進めている」と話す。

　その結果が、たとえば住民基本台帳カードをゲットに示された状況ですからね。総務省は、あれだけ長野県が騒いだにもかかわらず、今だに現場を理解できていないということなのでしょう。

　関連: 本格稼働の住基ネット　参加は選択制にすべきだ (毎日)。

■ DNS map problem in 8.12.x before 8.12.9
(sendmail.org, Tue, 26 Aug 2003 16:37:56 GMT (info from slashdot.jp))

　sendmail 8.12.0～8.12.8 に欠陥。 FEATURE(`enhdnsbl') を利用している場合に、領域がきちんと初期化されない。これを悪用すると、sendmail に対する DoS 攻撃が可能である他、任意のコードの実行が可能かもしれない (実際に可能かどうかは、わかっていないようだ)。 FEATURE(`enhdnsbl') を利用していない場合にはこの問題はない。

　sendmail 8.12.9 で修正されている他、patch が公開されている。

fix / patch:

FreeBSD: ANNOUNCE: [FreeBSD-Announce] FreeBSD Security Advisory FreeBSD-SA-03:11.sendmail。 FreeBSD 4.6～4.8, 5.0-RELEASE に影響。 FreeBSD 5.1-RELEASE にはこの問題はない。
OpenBSD: OpenBSD Information for VU#993452。 OpenBSD 3.2 に問題があり、3.3 にはこの問題はない。

■ 2003.08.26

Sobig.Fに「7つの謎のURL」が発見される～根絶まで警戒が必要 (INTERNET Watch)。
Slammer worm crashed Ohio nuke plant network (securityfocus.com)。
[aml 35403] 元スイス大使村田光平さんからの書簡「原子力のタブーを打破しよう」。
[pml-security,00902] ブラスタ対策の IPSEC ポリシィを設定するツール : MS03-026 IPSec Mitigation Tools。
https://www.microsoft.com/ 証明書話ですが、対策が取られつつあるようです。
ISSKK Weekly SOC Report (ISSKK)。

X-Forceをはじめとして、数社から、日本時間の2003/8/23 04:00 から、Sobigがなんらかのプログラムをダウンロードするとのアラートが出されました。
弊社でも動向を見ておりましたが、表面的には何事もなかったように見受けられます。
しかしながら、この件については、情報・見解が錯綜しており、実際には何が起きたのかについて、はっきりしたことはわかっていない状況と考えています。
OpenBSD: OS Fingerprinting Merged Into PF (kerneltrap.org)。おもしろそうですね。
Opinion：Windows UpdateがUpdateの必要に迫られている理由 (ZDNet)。ダラダラと書かれているが、まとめると、こういうことかな:
- 脆弱性情報の番号 (MSxx-xxx) と patch 自身の番号 (KB の番号) とが別々だとわかりにくいじゃん
- インベントリ管理がめちゃめちゃじゃん
- 「重要な更新とService Pack」に入れるべきものが「推奨する更新」にあるじゃん
最初の 2 つについては大いに同意するのだが、David Berlind 氏が指摘している観点については、 Windows Update がどうこうという話では必ずしもないと思うし。もちろん Windows Update はいろいろとダメなのですけれど。また最後のものは、David Berlind 氏がわかってないだけでしょう。「重要な更新とService Pack」には DirectX 用の patch があったはずだから。
“踏み台”にされた企業に賠償責任？ (日経 IT Pro)。
PHP 4.3.3 が出たそうです。
bsdsar というツールがあるんですね。
田中宇の国際情勢ウェブログ「カダフィ恩赦の裏に均衡戦略？」。カダフィ氏って、いまでも大佐なのかなあ。

■ いろいろ (2003.08.26)
(various)

Server Exploit Vulnerability (real.com)

Helix Universal Server 9、RealSystem Server 8、RealSystem Server 7、 RealServer G2 に、外部から root を取得できてしまう欠陥がある、という話。回避策として、サーバの /Plugins ディレクトリから vsrcplin.so (Windows の場合は vsrcplin.dll) の削除、が挙げられている。

関連: [Dailydave] Real security information is hard to come by、 [Full-Disclosure] Re: RealServer bugs + Exploit。

2003.09.17 追記:

fix 登場: View Source プラグインの脆弱性の解決 (jp.real.com)。ただし Helix Universal Server 9.0 用のみ。他については patch の提供予定はないようだ。
0061-01　[Oracle]Oracle9i Database Server XML Database の潜在的なセキュリティの脆弱性 (CTC)
Fix for a potential security issue in sendmail(8) with respect to DNS maps. This only affects sendmail(8) configurations that use the "enhdnsbl" feature. The default OpenBSD sendmail(8) config does not use this. (openbsd.org)

■ 解説●プライバシー保護に関する認証サービスの違いプライバシーマークはJIS準拠，TRUSTeの基本は自己申告
(日経 IT Pro, 2003.08.19)

TRUSTeの特徴は，認証後のチェック体制と苦情処理の方法にある。TRUSTeの実施母体である日本技術者連盟は，ライセンスを提供した企業のサイトを3カ月に1回チェックしている。「疑い深い利用者の視点で，個人データの収集などが適切に行われているかどうかを判断している」（日本技術者連盟高橋氏）。

　結局は、調査者のスキルに依存する、ということなのかなあ……。

■ 802.11a/802.11gのWEPが解析可能に
(slashdot.jp, 2003.08.25)

　Kismet や AirSnort を 802.11a/802.11g で使える模様。いいかげん手元でも、Kismet や AirSnort で遊んでみないとだめかなあ。

　802.11PLANET Conference & Expo Japan 2003 なんてイベントもあるそうですが……。

■ 住民基本台帳カードをゲット
(高木浩光＠茨城県つくば市の日記, 2003.08.25)

　住基ネットの第2次サービスが開始 (INTERNET Watch) だそうだが、そこにつながっているものの一例。いやはや、これほど無造作に設置されているとは。こんなふうに設置するような人達なら、TAP したりしても誰も気がつかないのでは。こういう状況を、総務省用語で「万全のセキュリティ」と言うんですね。

　まあ、そんな危ない橋を渡らなくても TEMPEST すれば一発なんだろうけど……。

■ 追記

MDAC 機能の未チェックのバッファにより、システムが侵害される (823718) (MS03-033): 「インストール時の注意」話の部分における、私の現状認識を明確化した。青木さんの情報からも、この認識でいいように思える。 hide さん、大津さん、みねきちさん、青木さん情報ありがとうございます。

■ 弊社製Print ServerおよびDocument Gateをお使いのお客様へ最近のWindows^(R)の脆弱性を悪用したウイルスへの対応について
(富士ゼロックス, 2003.08.25 (info from タレコミ, Tue, 26 Aug 2003 11:41:32 +0900))

　[port139ml:03920] Re: Blaster ワームの対策ツールに追記した、富士ゼロックスの複合機の話の正式版。山本さん情報ありがとうございます。

　問題があるとされているのは:

Print Server: DocuCentre Color 500/DocuColor 1250/DocuColor 1255 CP 用プリントコントローラ Print Server U/L/M、DocuPrint C1255 Uタイプ/Lタイプ、DocuWide C336/DocuWide C354 用プリントコントローラ Print Server W

Print Server MSBLAST対処方法について (富士ゼロックス) を参照。Windows 2000 ベースのものがあるので要注意。
Document Gate: DocuCentre Color 500/DocuColor 1250/DocuColor 1250 CP/DocuColor 1255 CP用オプション Document Gate/Document Gate 2/Document Gate 3

Windows NT 4.0 ベースなので Blaster にはヤラれないものの、……。

弊社の作業員が次回訪問時に修正プログラムを適用いたします。
DocumentGate-Wide: DocumentGate-Wide 付き DocuWide 6030MF/DocuWide 6050MF/DocuWide 5070MF

DocumentGate-Wide：コンピューターウイルス（MSBlast）対策のお願い (富士ゼロックス) を参照。Windows XP ベースなので要注意。

2003.09.02 追記:

　yutaka さんから (ありがとうございます):

うちが使っている DocuColore1250 が NT ベースの組み込み OS だが、次回の訪問時に脆弱修正を行うとあったので、問題はなかったのだが、新たなウィルスがでて NT ベースも対象になるといやだなと思い、サポートへ電話していつこのページの対応をしてくれるのか予定を聞いてみた。サポートの女性ではわからないというのでエンジニアから折り返し電話をいただいた。

そこには驚く回答が.....

「NTベースについてはまだ弊社内で修正プログラムの適用がはじまっていません。したがっていつお客様へ適用作業に伺えるかわかりません」

という内容でした。おおまかな日程でもいいんだけどっていったらじゃぁ、９月２週までくらいとしておきましょうって感じでした。最悪なエンジニア。実は NT ベースはまるっきり後回しになってるんじゃないのかな？だったらページにあんなことかかないでほしいなぁ～。

2003.09.03 追記:

　富士ゼロックスからの案内文書が更新された。新たに DocuPrint CG835、Color DocuTech シリーズ用 Fiery カラーサーバーの情報が追加された。

DocuPrint CG835

Windows 2000 ベースなので影響あり。対策手順を参照。
Color DocuTech シリーズ用 Fiery カラーサーバー: Color DocuTech 60 用 Fiery EX2000/EX2000d カラーサーバー、Color DocuTech 60 V 用 Fiery EXP6000 カラーサーバー

Windows NT 4.0 ベースなので Blaster にはヤラれないものの、……。 Color DocuTechシリーズ用Fieryカラーサーバー MSBLAST修正プログラム適用手順についてを参照。

2003.09.19 追記:

　富士ゼロックスからの案内文書が更新された: 弊社製複合機およびプリンター、Print Server、Document Gateなどをお使いのお客様へ最近のWindows�の脆弱性およびコンピューターウイルスへの対応について 2003年9月19日。 MS03-039 も言及されている。

■ 2003.08.25

Nuclear Weapon Accident Response Manual (3.5MB) (dtic.mil) って読めなくなっちゃってるのかなあ。
ソフォス、ウイルス対策ソフト「Sophos Anti-Virus」のMac OS X対応版 (INTERNET Watch)。次の CD-ROM からついてきたりするのかな。 from Sophos Anti-Virus for Mac OS X リリースノート 2003年 9月（3.73B）:
```
2. 既存の問題点
---------------

a) Mac OS X コンピュータにのみ、Sophos Anti-Virus のセントラルインストールを
   作成できます。
```
あら……。
GnuPG 1.2.3 が出たそうです。
Port139勉強会の資料、 LKM rootkit 編 (2003/08/23) が公開されています。
戦争民営化のなれの果て (tanakanews.com)。現場がこんな状況だとは……。こういう状況が、イラク市民に対する過剰攻撃の温床になっているのかも。
アメリカで大規模な選挙不正が行われている？ (tanakanews.com)。
InterScan VirusWall UNIX: HTTP：DirectXの脆弱性(MS03-030)に備えたセキュリティ対策方法 (トレンドマイクロ)。「それで結局どうすればいいのか」が書かれていないような気が……。
セキュリティ研究者はプライバシーを理解しているのか (高木浩光＠茨城県つくば市の日記)。
あなたの「個人情報」が盗まれる (櫻井よしこ: 著) という本が出るそうで。
[port139ml:03956] [参加者募集 ]9/28Port139 勉強会（通称：ケーキオフ）。 2003.09.28、東京都大田区、3,000円。
崎山伸夫さんのBlog ができているそうです。 RSS が公開されているサイトなので、RSS ベースで変化を watch した方がいいのかな……。
typo fixed。 TEST さん情報ありがとうございます。
話題の人話: @random/1st SP1 において、話題の人の「デビュー」はなかった模様。しかし洩れ聞こえる情報を総合して推測すると、話題の人は、別の意味で「デビュー」した (あるいは「洗礼を受けた」?) 模様。関連:
- @random拾遺集 (極楽せきゅあ日記)
- @random (極楽せきゅあ日記)
第4回ハイテク犯罪ワークショップ in 越後: 「今、個人情報を考える」。 2003.10.02 (木) ～ 04 (土)、新潟県越後湯沢温泉。参加費 10,000 円 (「セッション及び車座会議の参加費及び資料代は含まれますが、交通費/宿泊費/食費/ナイトセッション及びフェアウェルパーティの参加費は含まれません」)。参加・宿泊申し込みは 2003.09.26 (金)までだそうで。
13:30 くらいから (?) しばらく落ちていたみたいですね。どうやら UPS のバッテリーがへたっていたようで。 UPS いれかえました。山崎さん、らむじぃさん、高橋さん情報ありがとうございます。

■ MDAC 機能の未チェックのバッファにより、システムが侵害される (823718) (MS03-033)
(Microsoft, 2003.08.21)

　MDAC 2.5～2.7 に欠陥。1434/udp に流されたブロードキャストパケットに対して攻撃的リプライパケットを流すと、 MDAC で buffer overflow が発生し、任意のコードの実行が可能になるようだ。

　MDAC 2.8 (Windows Server 2003 に含まれる) にはこの欠陥はない。また MDAC 2.1 以前については状況不明。もはやメンテナンスされていない模様。

　MDAC 2.5 SP2 / SP3、MDAC 2.6 SP2、MDAC 2.7 SP なし / SP1 については修正プログラムがあるので適用すればよい。その他 (MDAC 2.5 SP1 以前、MDAC 2.6 SP1 以前) については、修正プログラムの存在するバージョンにまで引きあげるか、あるいは MDAC 2.8 をインストールする必要があるのだろう。また MS03-033 修正プログラムには、先ごろ改訂され、全ての Windows で問題が発現することが明らかとなった MDAC 機能の未チェックのバッファにより、SQL Server が侵害される (Q326573) (MS02-040) 欠陥の修正も含まれている。なお、MS03-033 修正プログラムはアンインストールできないので注意されたい。

　MDAC 関連ダウンロード (microsoft.com) によると、MDAC には実にさまざまなバージョンがあってわかりにく事この上ない。MDAC には「refresh」という文字列がついているもの (ex. MDAC 2.7 SP1 refresh) があるが、MS03-033 としては、refresh がないもの (ex. MDAC 2.7 SP1) と同等に扱うべきもののようだ。 MS03-033 修正プログラムによってインストールされるモジュールのバージョンは [MS03-033] Microsoft Data Access Components のセキュリティアップデートに明記されているので参照されたい。

　この修正は MDAC 2.5 Service Pack 5 および MDAC 2.7 Service Pack 2 に含まれる予定だ、という。つまり:

【欠陥なし】: MDAC 2.5 SP5、MDAC 2.7 SP2、MDAC 2.8
【欠陥あり】: MDAC 2.5 SP4 以前、MDAC 2.6 全て、MDAC 2.7 SP1 以前

　欠陥あり版をインストールした場合には、MS03-033 修正プログラムを再適用する必要があることに注意されたい。たとえば、MDAC 2.6 SP2 + MS03-033 修正プログラムな環境に MDAC 2.7 SP1 refresh (Windows XP SP1 に含まれている MDAC と同等) をインストールした場合には、MS03-033 修正プログラムを再適用しなければならない。 FAQ には、MDAC のバージョン確認には KB 307255 を参照、とあるけれど、 Component Checker ともどもなんだか記述が古いっぽい。穴があるか / ないかについては、下手に目視で確認しようとしたりせず、 HFNetChk / MBSA + 最新の XML DB、などを使った方がよいだろう。

　関連:

[NT] Buffer Overflow in UDP Broadcasts for Microsoft SQL Server Client Utilities (SecuriTeam)
CVE: CAN-2003-0353

　なお、多くのWindowsが影響を受ける「MDAC」の脆弱性が“緊急”で警告される～適切な手順で修正パッチを当てなければ、パッチを当てても無意味に (INTERNET Watch) には

「MS02-040」の修正パッチは「MS03-033」に含まれているため、「MS03-033」の修正パッチを当てれば修正されるが、パッチを当てる際に以下のような2つの問題が発生する可能性があるため、注意が必要だ。

　・脆弱性を修正するためには「odbc32.dll」を修正済みのものに置き換えなければならないが、パッチを当てる際に何らかのアプリケーションがodbc32.dllを使用している場合は、置き換えることができない。したがって、脆弱性も修正されない。

という記述があるが、 MS03-033、 MS03-033 FAQ、 KB 823718 にはそのような記述は一切存在しない。個人的には、

MS03-033 にはインストール時の注意書きは存在しない (MS02-040 には注意書きがある)
Windows Update で適用できる

という点から、「MS03-033 には MS02-040 のようなインストール時の注意は不要」だと認識しているが、いまいちよくわからない。 Microsoft 自身による明確化を期待したい。

2003.08.26 追記:

　「インストール時の注意」話の部分における、私の現状認識を明確化した。しかし、私の認識が誤っている可能性は存在するので注意されたい。 hide さん、大津さん、みねきちさん情報ありがとうございます。

2003.08.26 追記2:

　青木さんから (ありがとうございます):

意地悪してわざと odbc32.dll をロックした状態でパッチを当ててみました。結果は
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
にきちんと再起動時の置き換えが記述されて、再起動後は正しいファイルになっているのを確認しました。よって、

「したがって、脆弱性も修正されない。」

は、

「したがって、マシンを再起動するまでは脆弱性も修正されない。」

が正しいということになるのだと思います。

http://support.microsoft.com/default.aspx?scid=kb;ja;823718
ここにも一応、「ロックされているファイルがあった場合、インストーラにより、コンピュータを再起動するように求めるメッセージが表示されます。」と書いてあるので、再起動すれば問題ないと思います。

因みに Windows XP では必ず odbc32.dll は再起動後の置き換えになるようです。Windows 2000 に関しては私がパッチした範囲では、IIS がインストールされていると「再起動が必要」になりました。

いずれの場合もマシンを再起動すれば正しいファイルになっていることを確認してます。

　どうやら「MS03-033 には MS02-040 のようなインストール時の注意は不要」という理解でよさそうだ。

あと、MDAC と言えば MS02-065 話があると思いますが、やはり MDAC 2.5、2.6 は 2.7SP1refresh に上げた後、MS03-033 パッチというのが推奨ということになるのでしょうね。

　ですよね。もしくは、いっそ MDAC 2.8 に行ってしまってもいいのかもしれませんが、MDAC 2.8 の日本語情報が皆無なので、いま 3 つほど判断しかねます。

2003.09.03 追記:

　ちなみに、 Microsoft Universal Data Access (Microsoft) に 8/28 付で MDAC 2.8 の情報が掲載されている。記載された内容を読む限りでは、インストールにおける注意事項は MDAC 2.7 SP1 refresh と同様のようだ。もっとも、中身の下位互換性についてはテストが必要なのだろう。「MDAC 2.8 refresh が出るまで待つべし」という意見もあるかもしれない (出るのかなあ……)。

■ 追記

E-MAILワーム「Sobig.F」が2次攻撃の可能性: 問題のサーバを無効化できたので何も発生しなかった、ようですね。

■ 2003.08.22

■ E-MAILワーム「Sobig.F」が2次攻撃の可能性
(F-Secure, 2003.08.22)

　2003.08.23 04:00 JST。セカンド・インパクトに備えよ。何もないかもしれんが。関連:

F-Secure Corporation is warning about a new level of attack to be unleashed by the Sobig.F worm today. (F-Secure)
Sobig-F worm has twist in tail - Sophos warns of possible "Trojan horse" download (Sophos)

Sophos advises that the download can be avoided by configuring firewalls to block outgoing connection attempts to UDP port 8998. In addition, anti-virus software should be updated, and any infected PCs disinfected.
W32.Sobig.F@mm (シマンテック)

Sobig.F には、感染したコンピュータに任意のファイルをダウンロードし、実行する機能があります。ワームの作成者は、システム情報を盗む目的で、また感染したコンピュータにスパムリレー・サーバを設置する目的で、この機能を利用しています。

この機能はまた、ワームのセルフ・アップデート機能として利用されることがあります。Sobig.Fは、正しい条件の下において、ワーム作者のコントロールするマスタサーバのリストの1つとコンタクトしようとします。ワームは、そこで、悪意あるファイルの取得先を決定するためのURLを探し、その後、取得したURLから、自身のコンピュータに悪意あるファイルをダウンロードし、実行します。

2003.08.25 追記:

　問題のサーバを無効化できたので何も発生しなかった、ようですね。

■ Internet Explorer 用の累積的な修正プログラム (822925) (MS03-032)
(Microsoft, 2003.08.21)

　IE 5.01 / 5.5 / 6 に 3 つの新たな欠陥。

BR549.DLL ActiveX コントロール (CLSID: 167701E3-FDCF-11D0-A48E-006097C549FF) で buffer overflow が発生する。これを悪用すると、攻撃者が IE 利用者権限で任意のコードを実行可能になると考えられる。

CVE: CAN-2003-0530
特定の状況が重なると、IE は (1) コンテンツを自動的にダウンロードし Temporary Internet Files ディレクトリ内で開いてしまい、さらに (2) マイコンピュータゾーン権限で、そのファイル中の OBJECT タグを解釈してしまう。結果として、攻撃者がコマンド等を実行できることになる。

関連: SNS Advisory No.67 The Return of the Content-Disposition Vulnerability in IE (LAC SNS)。LAC は IE 6 でしか確認していないようだが、 MS03-032 によると IE 5.01 / 5.5 にも同様の欠陥がある。
object タグの data 属性で示された URL の処理に欠陥。参照: EEYE: Internet Explorer Object Data Remote Execution Vulnerability 。

object タグの data 属性で示された URL に「危険でない」拡張子 (ex. .html) が設定されていたとする。たとえば:
<object data="www.example.com/danger.html"> </object>

しかし実際には、その URL をリクエストすると Content-Type: application/hta (通常、これの拡張子は .hta) な中身を返すようサーバが設定されているとする。このとき、IE は「拡張子と Content-Type が一致しないからエラーとする」なんてことはせず、application/hta な中身を素直に実行してしまうという。しかも、自動的に。

CVE: CAN-2003-0532

　また、Internet Explorer 用の累積的な修正プログラム (818529) (MS03-020) で修正されたはずの「object タグの type 属性の処理に欠陥があり、buffer overflow が発生する」欠陥が、日本語を含む特定の言語版においては直っていなかった。これも MS03-032 で修正された。参照: SNS Advisory No.68 Internet Explorer Object Type Buffer Overflow in Double-Byte Character Set Environment (LAC)。

　patch があるので適用すればよい。いずれも危険性の高い内容であり、早急な patch 適用が望ましい。

2003.09.09 追記:

　MS03-032 patch には副作用があることが判明。 Windows XP + ASP.NET 1.0 (.NET Framework 1.0) の環境で不具合が発生する。 Windows 2000 / Server 2003 では問題は発生しない。また Windows XP + ASP.NET 1.1 (.NET Framework 1.1) でも問題は発生しない。詳細は 827641 - [BUG] セキュリティ修正プログラム MS03-032 をインストール後、ASP.NET で "Server Not Available" というエラーメッセージが表示されるを参照。回避策も述べられている。

　また、

Windows NT 4.0 / 2000 + IE 5.01
Windows 2000 + IE 5.5

の場合には、patch あて + 再起動後に管理者ログオンが必要となるのだそうだ。注意されたい。

　さらに、MS03-032 patch は実は欠陥が直り切っていなかったことが判明。米MS、とんだお粗末-重大な脆弱性用のパッチが役に立たずを参照。

2003.10.10 追記:

　MS03-040 で修正されている。

　また、MS03-032 / MS03-040 には 827667 - [IE] Q822925 または Q828750 を適用すると相対 URL を使用したスクリプトで HTTP 404 エラーが発生する副作用があるそうだ。注意されたい。

■ 追記

DirectX の未チェックのバッファにより、コンピュータが侵害される (819696) (MS03-030): Windows 98 / 98 SE / Me / 2000 対応の DirectX 8.x 用修正プログラムが用意された。
Microsoft 関連 (2002.08.21): MS02-040 欠陥は「SQL Server 7.0/2000 をインストールした環境でのみ」発現するのではなく、Windows 全般で発現することが判明。MS02-040 が更新された。

■ ウィルス / ワームねた
(various)

MSとベンダー各社のBlasterウイルス対策CD-ROM、27日から順次配布開始 (INTERNET Watch)

マイクロソフト、セキュリティベンダーと共同で『Blasterワーム』緊急対策用無償CDを提供話。
- W32.Blaster.Worm 、W32.Welchia.Worm 緊急対策用無償 CD-ROM のご提供のご案内 (シマンテック): 15,000 枚
- MSブラスト対応レスキューCD-ROM配布のお知らせ (トレンドマイクロ): 10,000 枚
- LAC さんは 8/28 から受付開始だそうです。 20,000枚。
- 「W32/Lovsan.worm （MSブラスト）対策CD-ROM」詳細情報 (NAI): 10,000 枚。
  
  配布開始時期： 2003 年 9 月上旬
  
  それは、遅すぎるのでは……。
マイクロソフト、セキュリティベンダーと共同で『Blasterワーム』緊急対策用無償CDを提供では

今回、この「Blasterワーム」緊急対策用無償CDは、現時点で約200,000枚の配布が予定されています。

となっていますが、ぜんぜん数が合ってません。ひきつづき協力者募集中、なのかな。

……お、マイクロソフト、セキュリティベンダーと共同で『Blasterワーム』緊急対策用無償CDを提供＜続報＞が。これにあわせて改訂。
新種ワームはBlasterよりも悪質，気が付きにくい上にネットワークを“まひ”させる (日経 IT Pro)。 Welchi / Nachi 話。

「“正義の味方”に見せかけているが，実は危険なワームだ。一刻も早く対策を施す必要がある」（ラック西本氏）
Blasterワームおよびその亜種による、意図せぬISDN回線の長時間接続の問題について (ヤマハ)。 Blaster などのおかげで、 ISDN での非常時接続時に、ネットワークが切れにくくなるという話。原因が内側なら PC に対策を施す。原因が外側なら「ISDN 強制切断タイマ」を設定する。
周知徹底は周知されていなかった――MSBlastからベンダーが学んだこと (ZDNet)。

にもかかわらず、MSBlastは蔓延した。つまりこれは、普段からマイクロソフトのWebサイトにアクセスし、Windows Updateのメッセージに注意を払い、パッチを適用するユーザーがいかに少ないかを示すものだ。

標語が必要かな。「木曜日は Windows Update の日」とか。
「Nachi」は中国産？――当局がウイルス作者検挙に本腰 (ZDNet)。
二つのワームの猛攻でネットワーク大混乱 (ZDNet)。
MSBlastでCATVネット接続に障害相次ぐ (ZDNet)。

■ 2003.08.21

■ ウィルス / ワームねた
(various)

Sobig.F ねた:
- Sobig.Fウイルスの成長率は過去最悪の可能性 (INTERNET Watch)
- メールはSobig.Fだらけ――前代未聞の感染規模 (ZDNet)
あまりに大量に送ってくれてウザいので、手元では IP filter で接続自体を拒否してみるテスト中。

From: memo@memo.st.ryukoku.ac.jp を詐称してくれていている Sobig.F 送信者がいるみたいで。なんだかなあ。で、ウィルス警告を From: あてに送り返してくれる組織もあって。なんだかなあ。
Microsoft の記者説明会ねた:
- マイクロソフト、Blasterウイルスの記者説明会開催 (INTERNET Watch)。
  
  短期的には、修正プログラムとウイルス対策ソフトが入ったCD-ROMを、パートナー企業など各社と協力して無償配布する。 (中略) 同社によれば「一時的な対策」としているが、当面、CD-ROMによる修正プログラム配布を続ける。プレスされた版ごとに内容も異なり、その時の最新のプログラムに更新していくという。
  
  わくわく。しかし…… (後述)。
- ネットワークに依存しすぎた～マイクロソフト (ZDNet)
  
  ブロードバンド人口が1000万人を超えた現在、マイクロソフトならずとも、PCの多くは常時接続されているものと考えがちだ。 (中略) 実際には「相談窓口に寄せられる内容を聞く限り、ダイヤルアップのユーザーも予想以上に多いことが分かった」。
  
  ナローバンドユーザ話はこれまでもことあるごとにされてきた筈なのに、何をいまさらって感じ。
  
  またマイクロソフトは20日、トレンドマイクロ、ラック、シマンテックといったセキュリティベンダーと共同で「Blasterワーム緊急対策用CD-ROM」を約20万枚、無償配布することを明らかにした。これには、マイクロソフトの修正モジュール（MS03-026およびMS03-007）にくわえ、各ベンダーの駆除ツールが含まれる。
  
  「MS03-026およびMS03-007」しか入っていないわけですね……。
  
  コンシューマー向けOSとなると勝手が違う。一定の能力を期待できる企業のネットワーク管理者と異なり、利用者の知識やスキルはさまざま。
  
  「一定の能力を期待できる企業のネットワーク管理者」というのは幻想だろう。どう考えても。能力があっても権限がなかったりする場合もあるだろうしなあ。
CD についてはこちら:
- マイクロソフト、セキュリティベンダーと共同で『Blasterワーム』緊急対策用無償CDを提供 (Microsoft)
  
  ※CDの内容、配布時期、配布方法などは各社により異なります。
  
  Microsoft がまとめたものを各社が配るのではなく、 Microsoft の patch + 各社独自の修正ツール、を各社が配る、ようだ。だから、トレンドマイクロが配るものとシマンテックが配るものとでは中身が違うはず。Microsoft の patch 部分は同じかもしれないが。
  
  やっぱり「hotfix CD」(の .iso イメージも) を Microsoft が毎月公開してくれるのがいちばんうれしい気がするなあ……雑誌の付録とかで。まあ、自分でつくればいいんだけどさ。
- マイクロソフトとセキュリティベンダー、MSBlastワーム緊急対策用CDの無償配布を決定 (ZDNet)
ウイルス感染者に対して下される“社会的制裁” (ZDNet)。まあ、そんなもんかもね。

■ 2003.08.20

やはり問題はプライバシー、RFIDへの規制を求める声 (ZDNet)。
goo フリーメールを利用している方から「なんか変なメールがいっぱい届いているんですけど、これって大丈夫なんでしょうか?」と相談を受ける。見てみると、コレモンで Sobig.F の大群 (笑)。 goo フリーメールにはアンチウィルスフィルタは適用されていないのですね。まあ無料だからそういうものなのだろうが。こういう状況だから、やっぱり http proxy にもアンチウィルス機能を付けざるを得ないかなあとも思ったり。
LACの駆除ツール (saposen.com) は Blaster を停止させた上で削除してくれるようだが、 Norton AntiVirus 2003 様はそんなに親切ではないので「削除できませんでした」エラーダイアログ出まくり、ということが今日実地で判明 (T_T)。ほとんど DoS。他社のアンチウィルスものではどうなるんだろうなあ。って試せよ > 俺。

HIROMI 様からいただいた宿題が実施できないまま、はや数か月……。ごめんなさい。_o_
CVS: InsufficientMemory って何だろう…… > SMTP_SERVER01.mail.ryoyu.co.jp。
Sobig.F 多すぎ。なんとかしなさい > p2007-ipadfx41marunouchi.tokyo.ocn.ne.jp [220.98.1.7]。
【今週のSecurity Check】Blasterを回避しただけでは安心できない，　“超特大”ホールに関する情報の継続的なチェックが必要 (日経 IT Pro)。
ICタグ飛躍への課題（中） (日経 IT Pro)。
SCOが開示したLinuxの盗用ソース....とその正体 (slashdot.jp)。今週の山場～～～～～、ポチッとな (自爆) って感じ?
昨日は東京都立大学や工学院大学からバンバン Welchia / Nachi ワームが来てたっぽいのですが、今日は静かなので、おさまったのかな。

■ いろいろ
(various)

[harden-mac:0485] [security-announce] APPLE-SA-2003-08-14 realpath。 FreeBSD Security Advisory FreeBSD-SA-03:08.realpath な fix。
Microsoft MCWNDX.OCX ActiveX buffer overflow。 Visual Studio 6.0 に付属する MCWNDX.OCX に buffer overflow 穴がある、という指摘。
ShellForge。シェルコードジェネレータ、だそうで。
Dropbear SSH Server <= 0.34。 Dropbear SSH Server 0.34 以前に format バグがあるという指摘。0.35 で修正されている。最新は 0.36。
unix entropy source can be used for keystroke timing attacks。う～む……。
[Full-Disclosure] Eudora Worldmail Server 2.0 -XSS Injection
MPSB03-05 Patch and Work Around for Dreamweaver MX, DRK, and UltraDev Server Behaviors。 Macromedia DW MX PHP Authentication Suit Vulnerabilities の話と思われ。 Dreamweaver MX, UltraDev, Developer's Resource Kit (DRK) vol.2 / vol.4 に問題が含まれているそうな。
Cisco Security Notice: Nachi Worm Mitigation Recommendations。
Cisco Security Advisory: CiscoWorks Application Vulnerabilities
Steven M. Bellovin, "A Technique for Counting NATted Hosts. Proc. Second Internet Measurement Workshop, November 2002. (PS, PDF)。谷村さん情報ありがとうございます。

以前、FreeBSD の natd(8) が IP header の ID を保存するために NAT の向こう側にいる計算機毎に traffic が分類できるのではというメールをお送りしましたが、似たような paper が昨年出ていました。

Steven M. Bellovin, "A Technique for Counting NATted Hosts. Proc. Second Internet Measurement Workshop, November 2002.
URL: http://www.research.att.com/~smb/papers/fnat.ps

パッと見ですが、IP packet が連続して出てくる状況で、かつ ID が単なるカウンタの場合はかなり簡単に分離できるようです。また、例えば NAT を超えない packet を多く送信している計算機は ID が飛ぶので分類が難しい模様です。

なお、FreeBSD-current の ip_output() は、defrag 禁止な packet については ID をゼロにしてしまいます。といっても、defrag を禁止できるのは TCP の path MTU discovery の時ぐらいしかありませんが...
825819 - [HOWTO] COM インターネットサービス (CIS) および HTTP プロキシを経由した RPC のサポートを削除する方法 (Microsoft)。

この資料では、Windows NT 4.0 および Windows 2000 の COM (コンポーネントオブジェクトモデル) インターネットサービス (CIS) および Windows Server 2003 の RPC over HTTP (HTTP プロキシを経由した RPC) のサポートを無効にする方法および削除する方法について説明します。

■ SNSポリシーに関する意見
(LAC SNS, Mon, 04 Aug 2003 01:21:21 GMT)

　夏井高人氏による、法的観点から見た、脆弱性情報公開ポリシーのあるべき姿に関する考察。

もともと不完全な存在であるソフトウェアを社会という環境の中に置くことが許されるのは、それが不完全な存在であることをユーザその他の第三者が他人に知らせたり、あるいは、他人から知らされたりすることが許容されているということを前提にしている。そうでなければ、不完全であるのに完全なものとしての代金やラインセンス料金を請求することそれ自体が、いわば一種の詐欺行為として反社会的な行為であることになる。

　高木浩光氏の反応: 家電製品と汎用コンピュータの切り分け (高木浩光＠茨城県つくば市の日記)。

　あと、免責話はオープンソースソフトウエアの利用状況調査／導入検討ガイドライン (真紀奈17歳さん) も関連かな。オープンソースと言いながら GNU / GNU GPL な話をするのが鼻につくというのもあって、まだ全部読めてないし……。

■ 2003.08.19

イラクの国連施設で爆破テロ、１０人死亡・負傷者多数 (読売)。イラク情勢、なんだか、だんだんひどくなってません? イラク駐留米軍、ラマダン元副大統領を拘束 (読売) なんてニュースもあるようですが……。
Opinion：「ネットのID問題の解決法は目と鼻の先」とDNSの発明者 (ZDNet)。あるいはアキレスと亀。
Microsoft、新しいWindowsインストーラ「MSI 3.0」のベータテストを開始 (MYCOM PC WEB)。少しは幸せになれるのでしょうか。
「Windows地獄」から抜け出すためのトラブルシューティング (ZDNet)。 EventID.Net ですか。知りませんでした。
HFNetChkLT 4.0.76 が出たんだそうで。
「年間に支払えるセキュリティ対策費用は5千円」：ユーザーのセキュリティ意識調査 (CNET)。まあ、そんなもんだろうなあ。

セキュリティに配慮していると思われる企業を質問したところ、(中略) 5位と６位にセキュリティベンダーである「シマンテック」と「トレンドマイクロ」が入っている。同じくセキュリティベンダーのマカフィーは37位と、一般ユーザーには認知度が低いようである。

うーん、「セキュリティに配慮」ってどういう意味なんだろう。質問内容の詳細がわからないと、なんともかんとも。元ネタはこれかな? 「家庭」のインターネットセキュリティに関する意識調査 (aeonvisty.co.jp)。概要版ではよくわからないな。

イオンビスティーのリサーチはモニターの多くがイオンの店舗利用者であることが大きな特徴です。

とりあえず、そういうバイアスがかかってる、ってことで。
Phrack #61 が出たそうです。
ＬＤ調査は「人権侵害」と複数校が保留　東京都 (毎日)。専門家が作成、ねぇ……。
さっそくですか > Sobig-F。もしかして、すりぬけてるのがあったりするかな。
Windows XP SP2の提供が2004年Q3に延期へ (日経 BizTech)。来年の 7 月以降、ですか……。
Windows XPのファイアウオールを標準でオンに (日経 BizTech)、 Microsoft、Windows XPのICF機能を標準で有効へ (MYCOM PC WEB)。だからぁ、Windows Server 2003 は?!
米陸軍、偵察ロボット車両を開発へ (毎日)。めざせ HK。
ICタグの経済効果、2010年で最大31兆円 (毎日)。煽ってますねえ。
ICタグ飛躍への課題（上） (日経 IT Pro)。
環境テロ国家 USA が何か言っているようです: 米ブッシュ政権の「クリアスカイ法案」、上下両院議員から強い支持得る (日経 BizTech)。京都議定書 (外務省) では「先進国等に対し、温室効果ガスを1990年比で、2008年～2012年に一定数値（日本6%、米7%、EU8%）を削減することを義務づけている」わけですが、 2000年というのは1990年の何倍なんだろう。
SELinux ねた:
- [selinux-users-ml:00060] 日経Linux 9月号
- [selinux-users-ml:00079] 2003/08/13版がリリースされました
LIDSの使い方(上) (honto.info)、 LIDS Kernel configure Help (Japanese) (honto.info)。
[HOWTO] ADPlus を使用した "ハング" および "クラッシュ" のトラブルシューティング方法 (Microsoft)。
新種ウイルス感染で家電店　パソコン持ち込み殺到対策ソフト　爆発的な売れ行き　メーカー品切れ入手困難 (山陽新聞)。で、「マッチポンプなんじゃないの?」とか言われるわけだよな……。
次回＠ランダムの事について (tomo.sslan.com)。めいどさんですか。そうですか。 @random としては関知していない事項ですが。
らむじぃさんから (ありがとうございます):

www.microsoft.com をakamaiに逃がした (あるいはakamai担当分を増やした？) 様なのですが、今回の騒動対策で追加したnodeのサーバ証明書が実ノード.akamai.net のままであり、https://www.microsoft.com/ を開くとCommonNameと違う証明書の為警告が出てしまいます。

あちらを立てればこちらが立たず、って感じ?
certcc-kr.jp から:
- KAHT2 攻撃ツール分析
- W32.Blaster.Worm 攻撃シナリオ分析結果

■ Welchia / Nachi ワームねた
(various)

　Blaster (Lovsan) の亜種と分類しているベンダーと、そうではないと主張しているベンダーがあるようで。というか、Blaster (Lovsan) の亜種と分類しているのはもはやトレンドマイクロだけみたいですけど。昨日の状況は Blaster ねたにあります。

W32/Nachi.worm (NAI)
W32.Welchia.Worm (シマンテック)
~~WORM_MSBLAST.D~~ WORM_NACHI.A (トレンドマイクロ)。2003.09.16 付で名称変更。トレンドマイクロでの「WORM_MSBLAST.D」は、今では彼らがこれまで「WORM_MSBLAST.E」と呼んでいたものになっているので注意。
W32/Nachi-A (Sophos)
Welchi (エフ・セキュア)
Welchia(Nachi)ワーム攻撃シナリオ (certcc-kr.jp)
ICMPトラフィックを急増させたワームの概要について(8/19) (@police)
Increase in ICMP scans (ISC)。
MSRPC DCOM ワーム「MS Blast」の蔓延 (ISSKK)。 Nachi ワームについて追記されています。
Weekly SOC Report (ISSKK)。
Nachiは、すでに大半のMS Blastワームと置き換えられた可能性があります。このため、MS Blastワームに焦点をあてた対策は、すでに的外れになっている可能性があります。
また、Nachiは、MS03-026のセキュリティパッチを適用するため、感染したマシンを見つけることが難しくなっている可能性があります。これは、Nachiに感染したPCは、弊社をはじめいくつかのベンダが提供しているMS03-026の脆弱性検査ツールに対して、危険性がないPCと判断されるためです。
Cisco Security Notice: Nachi Worm Mitigation Recommendations (CISCO)

　~~おねがいですから、名称を変更して頂けませんでしょうか? > トレンドマイクロ様。ややこしや～。~~トレンドマイクロは 2003.09.16 付で名称を変更しました。よかったね。

　特徴:

攻撃前に ping し、反応があったホストを攻撃。 snort だと "ICMP PING CyberKit 2.2 Windows" として検出する。
10240 バイトの dllhost.exe ファイルと 19728 バイトの svchost.exe を使う。後者は tftp サーバ。
MS03-026 穴と MS03-007 穴を狙う。
MS03-026 patch (Microsoft 謹製の本物) をダウンロードしインストールする。ただし英語・中国語・韓国語版 patch にしか対応しておらず、日本語版 patch はダウンロードされない。
MS03-007 patch はインストールしない。
4444/tcp ではなく 666～765/tcp を使う。
Blaster ワームを削除する。
2004 年になると自己破壊する。
目標のさがし方がかしこい。MSRPC DCOM ワーム「MS Blast」の蔓延 (ISSKK) より:
中国およびアジアの 16 ネットワークがハードコードされたリストを含む、より高度なスキャンロジックが含まれています。

　駆除方法: Nachi は、時計を一時的に 2004 年にしてあげれば自動的に消滅します。

　政府方面 (麗美さん、情報ありがとうございます):

新種ワームの発生に関する注意喚起について (経済産業省)

本ワームはW32/Blasterを駆除するという情報もありますが、日本語環境では動作しないことが確認されておりますので、早急に対策を実施してください。
新種「W32/Welchi」ワームに関する情報 (IPA ISEC)

※ 日本語環境では修正プログラムのインストールは行われません。
新種コンピュータウイルス（ＢｌａｓｔｅｒワームD）の感染について (日本郵政公社)。

感染した場所　
　本社及び１０支社（北海道、東北、南関東、東京、信越、北陸、東海、近畿、中国、四国）

すごいことになっているのではないかと……。
＜大阪＞大阪府庁などでコンピュータウイルス感染 (ABC NEWS)

大阪府によりますと、これまでに日本の役所など公的機関にブラスターウイルスが感染し、ネットワーク障害を起こした例は聞いたことがないと話しています。

日本郵政公社も、なのでご安心を。
住基ネットのウイルス対策「放置」　修正ソフト検証中 (毎日)。あいかわらずの運用なようで。ぜひとも「侵入テスト」を実施していただきたいものですな。

　マスメディア方面: トレンドマイクロ様に引きずられて、 Blaster-D という名称を用いる方が多いようで (麗美さん、情報ありがとうございます)。てゆーか、ほんとにタレ流しだなあ。

2003.10.03 追記:

　トレンドマイクロは 2003.09.16 付 (パターン 631 以降) で WORM_MSBLAST.D から WORM_NACHI.A へ名称を変更。あわせて WORM_MSBLAST.[EFG] から WORM_MSBLAST.[DEF] へと 1 個ずらしている。これに対応して、この項の記述を変更した。伏谷さん情報ありがとうございます。

■ 追記

[port139ml:03920] Re: Blaster ワームの対策ツール: 富士ゼロックスの Document Gate に関する、山本さんからの情報を追記 (ありがとうございます)。

■ 2003.08.18

ひさしぶりにセキュリティアンテナを調整。更新をうまく追えていなかったページが 10 くらいあったのを直した。
【コラム】ハイテクウォーカー第82回執筆＝佐藤晃洋 Windows Rights Managementでできること (MYCOM PC Web)。なかなかおもしろそうではあります。
[aml 35370] 行政機関等による監視カメラの設置等の適正化にかんする法律案。なんだか、やたら「適切」という文字が目立つなあ。
New Book: Beyond Fear (schneier.com)。
[aml 35356] 良心的兵役拒否者の手紙。
FreeBSD 5.1-RELEASEにおける新機能の概要と活用例 (ZDNet)。♪まだかなまだかな～、5.2-RELEASE まだかな～。
アムネスティ・インターナショナル、日本での元従軍慰安婦の人びとの行動に連帯を表明 (アムネスティ日本)。

アイリーン・カーン事務総長は、従軍慰安婦の人びとが拷問と性奴隷制の被害者となったとし、これは民間人に対する広範かつ組織的な人権侵害であり「人道に対する罪」を構成するとし、時効等の法的な制限要素が当てはまらない、と断じた。
ノータッチ・デプロイメント ―― Web＋Windowsという新たな可能性 ―― (@IT)。 Java Applet みたいなもの、なのかな。
電子切手で全郵便物を追跡――米政府計画にプライバシー侵害の懸念 (ZDNet)。 RFID を埋め込んだりするのかな。
ブート機能を備えたフラッシュドライブ (ZDNet)。便利かつ危険。
米Microsoft，ブラウザの特許侵害で巨額の支払いの評決 (日経 IT Pro)、 MSブラウザ敗訴の評決、競合各社にも広く影響？ (ZDNet)。うーむ。
容疑者どうやって特定？　米ISP団体がRIAAに質問状 (ZDNet)。

■ Blaster ねた
(various)

　ところどころ古い情報があるのは、いまごろになって先週の mail を読んでいたりするから。どうかごかんべんを。

ICMPトラフィックの急増について (@police)。 [connect24h:62 55] また亜種でしょうか？によると、ping してから 135/tcp を突く奴が出てきた模様。
- MSSリポート「MS Blastワームの状況について」 (ISSKK)
- WORM_MSBLAST.D (トレンドマイクロ)
- Win32/Welchia.worm. 10240 (アンラボ)
- W32/Nachi.worm (NAI)
- W32.Welchia.Worm (Symantec)
- Lovsan.D (F-Secure)
- W32/Nachi-A (sophos)
各社のウィルス名称による混乱が発生しているような気がするが、今回指摘されているものは
- ping する
- 10240 バイトの dllhost.exe ファイルと 19728 バイトの svchost.exe を使う
- MS03-026 patch (Microsoft 謹製の本物) をダウンロードしインストールする
- Blaster ワームを削除する
- 4444/tcp ではなく 707/tcp を使う
などといった特徴があるもの。

@police から続報: ICMPトラフィックを急増させたワームについて (8/18) (@police)。関連: Increase in ICMP scans (ISC)。
Cisco Security Notice: W32.BLASTER Worm Mitigation Recommendations (Cisco)。
Blaster Worm Analysis (eEye)。コメントつきの disassemble リストも示されています。解析者の中には Yuji Ukai 氏の名前もありますね。
シマンテック、「Blasterウイルス」セミナー実施、最新状況を報告～ログ解析では、18日7時30分時点で53万システムが感染の疑い (INTERNET Watch)。

「18日から国内企業の業務が開始しているため、油断はできないものの、既に収束に向かっていると考えてよいだろう（星澤氏）」との見解を示した。

新種登場によって、終息どころかぶりかえしている模様です……。
McAfee Desktop Firewall 8.0 お試し版 (NAI)。各社とも売り込みに必死ですね。
NEC 8 番街: Microsoft社より新たに公開された「Windowsのセキュリティホール」への対応について、 NEC製品に関する留意点。
日立セキュリティ情報 HS03-004: Blaster ワームに関する説明 (日立)
マイクロソフトWindowsの脆弱性を狙ったワームの発生に関する状況について (経済産業省)。あいかわらず多くの相談が来ているんですね。
「被害届け出の急増は見られず，ただし油断は禁物」――Blaster，18日朝の状況 (日経 IT Pro)。半径 50m 以内はなつやすみ継続中みたいなかんじだしなあ。
[Full-Disclosure] Microsoft to enable XP firewall by default。痛い目にあわないとこういう決断ができないんですねえ……。 Windows Server 2003 はどうなるんだろう。
Windowsワーム感染拡大が物語る「パッチの限界」 (ZDNet)。

例えばフロリダ大学では、広範な取り組みにより校内システムに厳重にパッチを当てていたにもかかわらず、ダイヤルアップで同校ネットワークにつながれた、脆弱性を抱えたままの1台のPCのせいで、数百台のシステムに被害が及んだ。

「厳重にパッチを当てていた」のなら「数百台のシステムに被害が及んだ」りはしないと思うのだが。

■ [port139ml:03920] Re: Blaster ワームの対策ツール
(port139 ML, Sun, 17 Aug 2003 13:47:39 +0900)

　Windows NT Embedded 4.0 ベースの家電製品 (NEC SmartVision Pro HD40) に MS03-026 穴があるようだ、という話。つづき: [port139ml:03921]。

サポート: 既に HD40 は生産終了した機種なので脆弱性があったとしてもアップデートはないものとお考え下さい。

　それでいいと思っているのか! > NEC (思っているんだろうなあ)。ちなみに SmartVision Pro HD40 Q and A (121ware.com) にはこの内容はありませんね。

　組込機器クラッキングについては、たとえば A.D.200X で UNYUN さんがいろいろやっていらっしゃいますが、相手が Windows XX Embedded とか Linux とか *BSD ならとっても楽になったりするのかな。

2003.08.19 追記:

　山本さんから (ありがとうございます)。

富士ゼロックスの複合機（カラーコピー機）に「Document Gate」というＰＣを流用した外部コントローラーがあります。（コンビニなんかにもおいてあります）

これのＯＳがＮＴ４をベースにした特注品（Embedded 4.0かどうかは不明）で、DCOM対応のスキャナーソフト調べると、いつも「VULNERABLE」になっております。

この件に関しまして、富士ゼロックスに問い合わせた結果、以下のような回答が来ました。

------------------------------------------------------------------------
ご指摘の通り今回のMSブラストにはNT4は感染しないのですが、
今後を考えると対策を講じる必要があると考えております。
弊社でも今後の亜種に対しての対応を含め、
弊社エンジニアによるパッチ作業の実施を予定しております。
時期に関しては未定ですが、早急に実施されると聞いております。
新しい情報が入り次第ご連絡差し上げます。
------------------------------------------------------------------------

ということで、ゼロックスは、ＮＥＣよりも真面目そうです。（保守入っているから、当たり前か）

■ 2003.08.17

「日本が先制攻撃用の空母導入を準備中」 (中央日報)。ほんまかいな……。
坂口厚労相、新型ウイルスに降参？…自宅でＰＣ感染 (読売)。つまり、patch をあててもいなかったし、アンチウィルスソフトも入っていないか、入っていてもきちんと更新されていなかった、と……。すばらしきかな e-japan。
デンマーク兵、イラク武装集団に銃撃され死亡 (読売)。イラク北部パイプライン爆破される (NNN) なんてのもありますね。
realpath lukemftpd remote exploit for freeBSD 4.8 ですか。
日本興亜損保、事故受け石原軍団のＣＭ自粛　１６日から (asahi.com)。うーむ。
Sophos AntiVirus の .ide 取得に失敗しているなあ……。 ……ローカルな問題であることが判明。かなり最低なことをしてしまった……。なさけなさすぎ。各地の ML 管理者のみなさん、ごめんなさい。_o_
[HOWTO] Windows XP、Windows 2000、または Windows Server 2003 で自動更新をスケジュールする方法 (Microsoft)。この「自動更新」って proxy 経由だと動かないという理解で合っているのかな。
計画停電終了。実験用 Windows 2000 Server の disk が 1 つおかしくなった。こまったもんだ。

■ Blaster ねた
(various)

[memo:6275] MSBLAST fix Hoax。 Blaster 自体には e-mail での拡散機能はないようですが、 spam 的にばらまいている人がいたりするのかな。ソフトウェアの配布に関するマイクロソフトの方針 (Microsoft) ってわけなので、Microsoft はそういうことはしません。
緊急ワーム対策スペシャルネットワーク管理者のためのBlasterワーム対策 (@IT)。
マイクロソフトWindowsの脆弱性を狙ったワームの発生に関する状況について (経済産業省):
- ８月１７日（日）午前９：００現在
- ８月１７日（日）午後２：００現在
Blaster，いまだ終息せず――今すぐあなたにお願いしたいこと (日経 IT Pro)

　KB 823980 Scanning Tool を使用して、セキュリティ修正プログラム 823980 (MS03-026) がインストールされていないホストコンピュータを特定する方法 (MS KB) を試してみたが、なかなかいい感じだ。しかしなあ。Blaster なんてものが登場しないとこういうものが配布されないというのはなあ。

■ 2003.08.16

■ CERT Advisory CA-2003-21 GNU Project FTP Server Compromise
(CERT/CC, 2003.08.13)

　GNU プロジェクトのプライマリ FTP サーバ gnuftp.gnu.org (ftp.gnu.org / alpha.gnu.org) が 2003.03 から何者かによって root 権限を奪取されていた、という話。このサイトに設置されていた全てのソフトウェアが改ざんされた可能性がある。ただし GNU プロジェクト自身は、全てのソフトウェアについて、改ざんは発生していないと信じている。正しい MD5 値を示したファイルが ftp://ftp.gnu.org/before-2003-08-01.md5sums.asc と ftp://alpha.gnu.org/before-2003-08-01.md5sums.asc に示されているので、local mirror などを維持している人は確認しよう。しかし、 ftp://ftp.gnu.org/MISSING-FILES に記載されているファイルについては、まだ確認されていないのだそうだ。

　関連:

LAC 邦訳版: CERT Advisory CA-2003-21 GNU Project FTP Server Compromise。
Vendor Status Note JVNCA-2003-21 GNU Project FTP サーバへの侵害が確認される (JPCERT/CC)
ftp://ftp.gnu.org/MISSING-FILES.README
GNU の ftp サイトが 3月以来 crack されていた (slashdot.jp)

■ Blaster ワームまつり
(various)

　まつりの最中になつやすみだったので完全に乗り遅れてます。中日新聞では 1 面トップが Blaster ねただったりしたので心配してましたが、「今週の山場～」であった 8/16 の windowsupdate.com 攻撃については、関係各者の努力もあり、ほとんど影響はなかったようです。次の山場は 8/18 の始業時だそうで。何らかの形で内部に到達できた Blaster が始業時に起動するのではないか、と心配されています。 patch あてましょう。

　8/12 の 04:00 AM (JST) ごろから……という理解でいいのかなあ。

状況

AlertCon レベル 3 (ISS)

Microsoft

Blaster に関する情報
What You Should Know About the Blaster Worm and Its Variants
プレスリリース (MSKK)
- Windowsのセキュリティ上の弱点を利用するワーム『Blasterワーム』に対する、防御策および対策に関するお知らせ (8/14)
- Windowsのセキュリティ上の弱点を利用するワーム『Blasterワーム』対策情報に関するお知らせ（続報） (8/15)
  マイクロソフト　FAX情報サービス：
  番号：　（FAX機より直接ダイヤルください）03-5454-8100 または03-5972-7149
  手順：　（電話が繋がったら）　「1」＋「#」を入力　→　「1」＋「#」を入力　→　BOX番号：「324618」＋「#」を入力　→　音声ガイドに従ってください。
- Windowsのセキュリティ上の弱点を利用するワーム『Blasterワーム』対策情報に関するお知らせ（続報２） (8/15)

遅すぎって感じもしますが、MS03-026 修正プログラムは 8/13 付で Windows 2000 SP2 に、 8/14 付で Windows NT 4.0 Workstation にも正式対応されています。また、Microsoft 純正のスキャンツールが登場しています。

KB 823980 Scanning Tool を使用して、セキュリティ修正プログラム 823980 (MS03-026) がインストールされていないホストコンピュータを特定する方法 (MS KB)

セキュリティ / アンチウィルスベンダー

LAC SNS (NHK ニュースでもおなじみですね)
- JSOC 緊急レポート（Blaster または Lovsan ワーム）
- システム管理者向け Blaster ワーム盆休み明け対策ガイドライン
- Blaster ワーム対策ツール (Windows 2000 / XP / 2003 対応: NT 4.0 には対応していないので注意)
ISSKK
- 「Microsoft Windows RPC の脆弱点」をつく攻撃を予防するには
NAI
- W32/Lovsan.worm.a
Symantec
- W32.Blaster.Worm
- Microsoft DCOM RPC Worm Alert (DeepSight)
トレンドマイクロ
Sophos
F-Secure
- Lovsan

中立組織、政府組織

経済産業省
- マイクロソフトWindowsの脆弱性を狙ったワームの発生に関する注意喚起 (8/13)
- マイクロソフトWindowsの脆弱性を狙ったワームの発生に関する状況
- マイクロソフトWindowsの脆弱性を狙ったワームの発生に関する注意喚起　～18日月曜日の朝に要注意～
総務省
- マイクロソフトWindowsの脆弱性を狙ったワームへの対応
IPA ISEC
- 「W32/MSBlaster」ワームに関する情報
警察庁
- Windowsの脆弱性(MS03-026)を利用したワームの概要について (8/12)
- Windowsの脆弱性(MS03-026)を利用したワームの概要について（続報） (8/13)
@police
JPCERT/CC
CERT/CC
- CERT Advisory CA-2003-20 W32/Blaster worm

各種メディア

いろいろなサイト

各種 ML など

Blaster vs. Kaht2
DCOM not disabled on Win2k SP0,1,2
マジですか……。関連: Re: DCOM not disabled on Win2k SP0,1,2 - or maybe it is? 。MS01-041 patch があたっていれば無効にできるのだそうで。

■ 2003.08.11

■ UNIX fixes
(various)

FreeBSD

FreeBSD Security Advisory FreeBSD-SA-03:09.signal

FreeBSD に欠陥。 ptrace(2) および 'spigot' video capture device driver において、負値、あるいは正常な範囲を逸脱したシグナルが発生する可能性があり、これが発生すると panic の原因となる。 ptrace(2) は 4.2-RELEASE 以降、spigot は FreeBSD 2.0.5 以降に欠陥が存在する。ただし spigot デバイスドライバはデフォルトおよび GENERIC コンフィギュレーションでは有効ではない。また FreeBSD 5.x においては、カーネルオプション INVARIANTS が有効な場合にはこの問題は発生しない。

RELENG_4_3 以降に fix が含まれたので、最新の source にしてから kernel を再構築しインストール、再起動すればよい。
FreeBSD Security Advisory FreeBSD-SA-03:10.ibcs2

FreeBSD の Intel Binary Compatibility Specification 2 (iBCS2) バイナリ対応機能に欠陥。 iBCS2 対応機能が有効な場合に iBCS2 版の statfs(2) を長大なパラメータで呼び出すと、広大な kernel メモリが返ってくる。これにはさまざまなセンシティブ情報が含まれている可能性があるため、センシティブ情報を利用した権限上昇などが可能になる可能性がある。 iBCS2 対応機能はデフォルトでは有効ではないが、 kernel loadable module (ibcs2.ko) もあるので注意されたい。

RELENG_3 および RELENG_4_3 以降に fix が含まれたので、最新の source にしてから kernel を再構築しインストール、再起動すればよい。

Debian GNU/Linux

[SECURITY] [DSA-354-1] New xconq packages fix buffer overflows
CVE: CAN-2003-0607
[SECURITY] [DSA-355-1] New gallery packages fix cross-site scripting
CVE: CAN-2003-0614
[SECURITY] [DSA-356-1] New xtokkaetama packages fix buffer overflows
CVE: CAN-2003-0611
[SECURITY] [DSA-358-1] New kernel source and i386, alpha kernel images fix multiple vulnerabilities
CVE: CAN-2003-0461 CAN-2003-0462 CAN-2003-0476 CAN-2003-0501 CAN-2003-0550 CAN-2003-0551 CAN-2003-0552 CAN-2003-0018 CAN-2003-0619

[SECURITY] [DSA-358-2] New kernel packages fix potential "oops"、 [SECURITY] [DSA-358-3] New kernel packages fix potential "oops"。 oops ですか……。
[SECURITY] [DSA-359-1] New atari800 packages fix buffer overflows
CVE: CAN-2003-0630
[SECURITY] [DSA-360-1] New xfstt packages fix several vulnerabilities
CVE: CAN-2003-0581 CAN-2003-0625
[SECURITY] [DSA-361-1] New kdelibs packages fix several vulnerabilities
CVE: CAN-2003-0459 CAN-2003-0370

[SECURITY] [DSA-361-2] New kdelibs-crypto packages fix multiple vulnerabilities
[SECURITY] [DSA-362-1] New mindi packages fix insecure temporary file creation
CVE: CAN-2003-0617
[SECURITY] [DSA-364-1] New man-db packages fix buffer overflows, arbitrary command execution
CVE: CAN-2003-0620 CAN-2003-0645

デフォルト状態ではこの問題は発生しない。

[SECURITY] [DSA-364-2] New man-db packages fix problem with DSA-364-1 。前の版だと segmentation fault するのだそうで。テストしているのだろうか……。
[SECURITY] [DSA-365-1] New phpgroupware package fix several vulnerabilities
CVE: CAN-2003-0504 CAN-2003-0599 CAN-2003-0657
[SECURITY] [DSA-366-1] New eroaster packages fix insecure temporary file creation
CVE: CAN-2003-0656
[SECURITY] [DSA-367-1] New xtokkaetama packages fix buffer overflow
CVE: CAN-2003-0652
[SECURITY] [DSA-368-1] New xpcd packages fix buffer overflow
CVE: CAN-2003-0649
[SECURITY] [DSA-369-1] New zblast packages fix buffer overflow
CVE: CAN-2003-0613
[SECURITY] [DSA-370-1] New pam-pgsql packages fix format string vulnerability
CVE: CAN-2003-0672

Red Hat Linux

■ 2003.08.10

イラク駐留米軍の泥沼 (tanakanews.com)。実に興味深い。
不当逮捕・盗み多発　イラク駐留米兵に苦情２５１７件 (asahi.com)。米軍って、こんなのばっかですね。
長期休暇中のセキュリティ対策について (Microsoft)。

長期休暇に入る前の対策は万全ですか？

ぜんぜん万全じゃないですね。ははは…… (乾いた笑い)。

Windows Update から最新の修正プログラムを適用してください。

先日も、「Windows Update したら、シャットダウンできなくなっちゃいました」なんて相談を受けたりして……。世の中ままなりません。
2003上半期ベストセラービジネス書～プロマネ志望者必読の8冊～ (@IT)。不確実性のマネジメントがないのはだめすぎだな、と言ってみるテスト。
W32.HLLW.Antinny (沙耶16歳さん)。そういうフォルダ名なわけですか……。日本語版: W32.HLLW.Antinny (シマンテック)。
ツーカーセルラー東海から回答書がきた (高木浩光＠茨城県つくば市の日記)。

EZwebサーバーを実際に管理・運営しているKDDIにおいてもご指摘の事象については認識しており、その対策について検討を行っていると聞いております。状況ご斟酌頂き、何卒ご理解賜りますよう宜しくお願いいたします。

日本語に訳すと「とりあえず何もしない」ですね。
平成 15 年台風第 10 号による被害状況について (第 6 報) (防災情報のページ)。
[aml 35207] 対小林よしのり裁判で完全勝利判決

「脱ゴーマニズム裁判を楽しむ会」という名前通り、この5年間、私たちは十二分に楽しむことができました。
【レポート】住基ネット第2次稼働間近 - その現状と問題点とは (MYCOM PC WEB)。
無線ＬＡＮのセキュリティに関するガイドライン (JEITA)。 2003.08.06 になってようやくこういうものが出てくる、というのがなあ。
[aml 35220] ベルギーの人道処罰法が廃止。♪帝国は～とても～強い～。
ipcat (ip packet generator/sniffer) Version: 20030601。
eEye の RPC/DCOM Scanner が 1.0.4 になったらしいです。
THC vmap 0.6。
Xprobe2 0.2rc1 release, white paper release, and Blackhat presentation availability。

■ 経路のセキュリティと同時にセキュアなセッション管理を - SSL/TLS でクッキーを使うときは secure 属性を付けるのを基本とする -
(IPA, 2003.08.08)

　Cookie盗聴によるWebアプリケーションハイジャックの危険性とその対策の話。

方法 B： 2つのクッキーを使い分ける
(中略)
このとき、暗号化で保護が必要な画面（https://...を使うことにした画面）に対して、https://...でアクセスされても情報を表示しないようにサイトを作る必要があります。そうしないと、攻撃者は、盗聴で盗み出した https://... 用のsecure属性付きのクッキーを使って重要情報にアクセスできてしまうからです。

　何か変じゃないですか? > IPA ISEC。 https:// を使うことにした画面に https:// でアクセスしたら情報を出さない、というのは……。

2003.08.11 追記:

　直ったようです。おつかれさまです > IPA ISEC の中の人。

■ UNIX fixes
(various)

Red Hat Linux

NetBSD

NetBSD Security Advisory 2003-010: remote panic in OSI networking code

■ いろいろ
(various)

Shattering SEH II
LDAP Injection White Paper
NetScreen Security Advisory 57739: Potential Denial of Service of Security Device

これの話? : NetScreen ScreenOS 4.0.3r2 DOS
[SECURITY] Netfilter Security Advisory: NAT Remote DOS (SACK mangle)

Linux 2.4.20 および最近の 2.5 で、CONFIG_IP_NF_NAT_FTP か CONFIG_IP_NF_NAT_IRC が有効な場合、あるいは ip_nat_ftp か ip_nat_irc モジュールが load されている場合に欠陥。 Linux 2.4.21 で修正されている。また Linux 2.4.20 用の patch が添付されている。 CVE: CAN-2003-0467
leak of information in counterpane/Bruce Schneier's (now open source) Password Safe program
Directory Traversal in Sun iPlanet Administration Server 5.1

Sun ONE Directory Server 5.2 および iPlanet Directory Server 5.1 Service Pack 2 で fix されているそうな。
Cisco IOS HTTP remote exploit
Windows remote RPC DCOM exploit with Universal targets

■ 2003.08.08

台風 10 号情報 (NHK)。さきほど学内に避難勧告が出ました (^^;;)。
リナックスが国際セキュリティー認証を取得、独SuSE (毎日)。 SuSE Linux Enterprise Server 8 が EAL2 を取得、だそうで。
お知らせ (JPCERT/CC)。ふと気がついたのだが、JPCERT/CC の [長期休暇を控えて] シリーズは、なつやすみには出ていないんですね。 JPCERT/CC には、なつやすみという概念は存在しないのかな。少なくとも、某有名 ISP さんには存在しないようなのですが。
日経エレクトロニクス特別編集版「GPL最前線」モニター応募 (日経 BP)。
JNSA 「セキュリティスタジアム」セミナー。 2003.09.10。テーマは「コンピュータ・フォレンジック」。
[aml 35273] ★ハッキリした大量破壊兵器使用の張本人。Fw: [2002CostaRica] 【イラク医師が語る劣化ウラン弾被曝被害の実態】。
[aml 35278] Fw: [janni-ml 1777] 【賛同依頼】アチェの人権に関する日本政府への申し入れ
ハッカージャパン9月号。やっぱり生は、ねぇ……。

ハッカージャパン9月号に「サイバー北朝鮮」という本の案内が出ていた。著者はウラジミールさん。おもしろそう。9/9 発売だそうだ。が、 http://www.byakuya-shobo.co.jp/ にはまだ案内がないっぽい。
APSL 2.0はフリーソフトウェア・ライセンス (slashdot.jp)。
とうとうビッグブルーが動いた--米IBM、米SCOを訴える (CNET)。こちらも攻撃開始。
旅行は延期になったので、このページを更新。なぜか 2 台の PC が同時に故障してるし。(T_T)

■ いろいろ
(various)

　いろいろ。

[VulnWatch] tcpflow 0.2.0 Format String Vulnerability

tcpflow 0.2.0 に format バグがあるという指摘。 tcpflow 0.2.1 で修正されている。 CVE: CAN-2003-0671
[VulnWatch] Cisco CSS 11000 Series DoS
[VulnWatch] defeating Lotus Sametime "encryption"

ヨワヨワ暗号ネタ。
Win32 Device Drivers Communication Vulnerabilities: Proof Of Concept - Exploiting Norton AntiVirus Device Driver

既存のデバイスドライバを通じて任意のコードを実行させられる、という話。事例として挙げられているのは Norton AntiVirus。
[VulnWatch] Local ZoneAlarm Firewall (probably all versions - tested on v3.1)

↑のデバイスドライバ話が ZoneAlarm にもある、という話。関連: [VulnWatch] Vendor response to "Local ZoneAlarm Firewall (probably all versions - tested on v3.1)"。 fix はまだない。
Notepad popups in Internet Explorer and Outlook

IE で view-source: リンクをクリックするとデフォルトでは Notepad が view-source アプリとして起動されるが、 img タグと併用して Notepad を自動的に起動させると popup 広告や DoS 攻撃 (大量に使うと) が可能だ……という話。
[VulnWatch] ePolicy Orchestrator multiple vulnerabilities

NAI の ePolicy Orchestrator 2.x / 3.0 に 4 種類の穴がある、という指摘。関連: ePolicy Orchestratorの脆弱点に関するご案内 (NAI)。patch があるので適用すればよい。

CVE: CAN-2003-0148 CAN-2003-0149 CAN-2003-0616 CAN-2003-0610 。

■ ＠Sam's room at fleur d'interdit
(けんのぼやき, 2003.08.07)

　雑学アドバイザリの「時系列に追っかけてみよう・・・」がなかなか興味深いです。

■ 2003.08.07

■ 2003.08.06

このページは、2003.08.07～2003.08.17 の間は更新されないことが予想されています。また 2003.08.17 は計画停電のため、龍大の全ての web ページは見れなくなりますし、memo ML も停止してしまいます。あらかじめご承知おき下さい。
InterScan VirusWall NT: 検索エンジンの自動更新時にサービスが停止する (トレンドマイクロ)。
“超特大”のセキュリティ・ホールを悪用する攻撃をラックが検知 (日経 IT Pro)。流れてます。
消費者に理解されていない「ICタグ」 (日経 IT Pro)。題名を「専門誌記者にすら理解されていない IC タグ」に変更すべきなのでは。
MS、Windows Server 2003対応の自動障害解析ツールを提供 (日経 BizTech)。 2003.08.15 から配布、だそうです。
ローソン個人情報流出は業務委託先の可能性 (毎日)。あらまあ、アイ・ティ・フロンティアですか?
Advanced Networking Pack for Windows XP の概要 (Microsoft)。
小型風力発電：フジタなどが開発　マンションの屋上でも利用可 (毎日)。
中国産ウナギ、さらに２５件で合成抗菌剤検出 (asahi.com)。この手の話、なかなかなくなりませんね。
WIDEとJPRS、首都圏災害に備えてDNSサーバーを大阪に分散 (INTERNET Watch)。関連: JPRS update (JANOG12 meeting) (JPRS)。

■ 住基ネット公開討論会ねた
(various)

公開での侵入テストの是非めぐり議論　住基ネット公開討論会 (毎日)
住基ネット公開討論会での論議概要 (毎日)

総務省って、「セキュリティはだいじょうぶです」という念仏を唱えながら空想の利便性を追及する部署なんですね。

とりあえず、侵入テストはやってみればよいのでは。山口氏↓は「単なる政治的なショーになってしまうのが心配だ」とおっしゃっていらっしゃいますが、ショーでもやらないことには先に進めそうにない、という状況のような気が。
山口英氏「国民不在の議論だ」　住基ネット討論会 (毎日)

ごもっともですが、おっしゃる内容を実現するには、組織を含めて一度全部捨てるしかないと思います。「現実に即した具体的なポリシーの策定・改訂とその実装」という言葉から想起されるレベルの改訂で済む話じゃないと思います。構造そのものを変えナイト。

　ところで、誰も話題にしていないようですが、「Windows NT を使っている」という部分は、今後どうなる (というか、総務省はどうするつもり) なんでしょう。つくりなおすならいい機会だと思うんですけどね。

■ 追記

[VulnWatch] Postfix 1.1.12 remote DoS / Postfix 1.1.11 bounce scanning: Red Hat fix 追記。
FreeBSD Security Advisory FreeBSD-SA-03:08.realpath: FreeBSD / NetBSD / OpenBSD 情報、lukemftpd の情報を追記。
wu-ftpd fb_realpath() off-by-one bug: Turbolinux fix を追記。

■ 2003.08.05

ねたがたまっていますが、消化しきれません。というか、締め切りを過ぎている仕事を優先しナイト……。
なんだか東京方面はどしゃぶりでたいへんみたいですね。
TCP135番ポートに対するアクセスの急増について (@police)。手元でも 5 倍くらいになっているっぽい。関連:
- ウインドウズ不正侵入に注意 (NHK)
- Windows RPC インターフェースの脆弱性への再度の注意喚起 (IPA): NHK ニュースで紹介されていたページ
- Windows RPCプロセスの脆弱性悪用コードが公に (memo)
[aml 35245] 〈練馬の里から〉ゆったり反戦通信・その94 小泉政権の超詭弁とイラク駐留米軍が襲撃される理由。
netsys.com の Full-Disclosure ML archive ですが、どうやら中身をいじくってくれたようで、link 先が変わってますね。うーん、やっぱり bugtraq, vulwatch, full-disclosure ML くらいは自前で持つべきか。
日本ネットワークアソシエイツ、ASP型ウイルス対策サービスの機能強化 (INTERNET Watch)。

ウイルス定義ファイル（DAT）の更新時間を大幅に短縮したことだ。従来、24時間毎だったウイルス定義ファイルの更新を18時間毎に短縮したほか、接続失敗の場合のリトライ時間も従来の6時間毎から90分毎と短縮した。

18h でいいんですか?
http://www.bouei.com/ というサイト (右系かな～) があるんですね。最初みつけたのは吉永光里のページ (bouei.com) だったので、これはいったい何なのだろうか……とかなり悩みました。
システムの穴を「すぐに」ふさぐべき理由 (ZDNet)。 60 時間の間違いじゃないんですか?
Red Hat、「もう黙っていられない」とSCOを提訴 (ZDNet)。攻撃開始。
作家らが「貸与権」求め訴え (NHK)。買う気が起こらない本しかつくってないってことなんだろうなあ。
脆弱性報告と公開のポリシー (LAC SNS)。

本ポリシーの対象は市販製品になります。特定の事業者によるところの大きい情報システム及び情報機器に関しましては、本ポリシーの各条項を適用することはありません。(中略) ただし、偶発的に発見したものに関しては、例外として報告のみを行います。
ネットアーク、8月1日時点でのWinnyとWinMXの利用者数は56万ノード (INTERNET Watch)。「調査開始2カ月で56万ノード超え」というよりも、調査範囲が現実に追いつきつつあるという状況のような気がするなあ。
http://www.kaspersky.co.jp/ にコンテンツができつつありますね。まだ買えないみたいですが。
Tea Room for Conference No.1502 を読みながら、そういえば、THX1138:4EB って 11 文字なんだなあ、と思ったり。 : を 1 文字と数えるのは反則かもだけど。

■ 検索エンジンリリースノート VSAPI 6.640
(トレンドマイクロ, 2003.08.05)

2. Windows 2000 Server＋Citrix MetaFrameサーバ環境で、フロッピーディスク上からウイルス発見時にブルースクリーンエラーとなる問題を修正
(中略)
14. OfficeScan 5.5、パターン、エンジンアップデート時、ブルーバック問題の発生率を減少するために、フィルターを修正

　先日の JWNTUG Open Talk in MSC 大阪で、小野寺さんが「Windows のブルースクリーンの半分は、アンチウィルスソフトとの不整合」だとおっしゃっていらっしゃったのを思い出した。API の整備が必要になる所以ですね。

■ 2003.08.04

飛行船が初めて成層圏に、航空宇宙研の滞空試験成功 (読売)。めでたい。え? これがなぜセキュリティねたかって? 監視プラットホームにも適するからですよ。

それにしてもこの構図 (NAL)。東宝特撮映画ファンにはたまりませんな (なにかちがう)。
Linuxとフリーのツールで実現するComputer Forensic (ZDNet)。個人的には、ヤラレ側ではなくヤリ側の方に興味があり、そういう意味で InfiniStream Security Forensics (NAI) のようなものが必要かなあ、と思ってみたりしているのだけど。あと、「対外」だけでは済まない話もあったりするわけで、……。
戦争のボリュームコントロール (tanakanews.com)。
アメリカの属国になったイギリス (tanakanews.com)。

英政府は、Ｆ３５に対して２０億ポンド（４０００億円強）もの開発コストを負担したにもかかわらず、ＢＡＥは部分的にしかシステムのプログラムコードを見ることができず、アメリカの許可なしには自社開発分のシステムを他に転用できないという不利な状況を受け入れるしかなかった。

おかげさまで、自衛隊 F-2 のフライトコンピュータ (FC) ソフトウェアは全部国産ですね。下手に「共同開発」になるよりは、結果的にはよかったのかな。
ウイルスバスターコーポレートエディション 5: セキュリティサービスパック関連リンク (トレンドマイクロ)。
力の論理を超えてル・モンド・ディプロマティーク　1998-2002 (NTT 出版)。
脆弱性情報公開はDMCA違反？ (ZDNet)。そういう可能性があるということで。
Internet Week 2003、 2003.12.02～2003.12.05、いつもの場所、だそうです。
RIAAの個人追及は「やりすぎ」とISPが提訴 (ZDNet)。
MSサイトにDoS攻撃、脆弱性とは無関係 (ZDNet)。実際に停まってしまったから記事になっているだけで、DoS 攻撃自体は日常的に行われているんだろうなあ。
ネットジャパン、不正アクセス防止ソフト「PestPatrol」をパッケージ販売 (INTERNET Watch)。￥8,500- ですか。アンチウィルスソフトが￥2,000～4,000- で買える時代としては、いささかお高い感があるなあ。￥4,000- くらいだと「保険だと思ってアンチウィルスといっしょに買っておきましょう」とか気軽に言えそうですが……。英語版は $39.95 なんですよね。

似たようなものとしては、 TDS-3 は $49、TAUSCAN は $29.95 ですね。どっちも英語ですけど。
[aml 35228] [映画] チョムスキー:: ドキュメンタリー2本同時上映。 2003.08.15 なかの ZERO (東京都中野区: JR / 地下鉄東西線中野駅のそば)。
ドコモ、「オレオレ詐欺」対策を強化 (日経 BizTech)。強化というか……

NTTドコモ・グループ9社は7月31日、プリペイド（料金前払い）式携帯電話サービス「ぷりコール」の悪用防止策を強化すると発表した。(中略) 9月1日以降は (中略) 一般的なポストペイド式携帯電話サービスと同様の手続きとなる。

わざわざユルい基準で売ってるものがあったので悪用された、というだけなのでは……。
Mimail というウィルスが流行ってるようですね。
- W32.Mimail.A@mm (symantec)
- WORM_MIMAIL.A (trendmicro)
- W32/Mimail-A (sophos)
- Mimail (f-secure)
- W32/Mimail@MM (NAI)
京大から来てるしなあ。関連:
- 大量に電子メールを配信するワーム「Mimail」の蔓延 (ISSKK)
- CERT Incident Note IN-2003-02: W32/Mimail Virus (CERT/CC)

■ [VulnWatch] Postfix 1.1.12 remote DoS / Postfix 1.1.11 bounce scanning
(Full-Disclosure ML, Mon, 04 Aug 2003 04:12:34 +0900)

　postfix に 2 種類の欠陥。

1.1.9～1.1.12 のデフォルト状態、および 1.1.8 以前で append_dot_mydomain を無効にしている状態に欠陥。アドレス解析部分に欠陥があり、remote から DoS 攻撃を行うことが可能。

postfix 2.x にはこの欠陥はない。
1.1.11 以前に欠陥。配送先に <[server_ip]:service!@local-host-name> と指定すると、postfix は [server_ip]:service に対して SMTP 接続してしまう。このため、port スキャナや DDoS エージェントとして利用できてしまう。

postfix 1.1.12 および 2.x にはこの欠陥はない。

　解決方法としては、postfix 2.x に移行するか、postfix 1.1.13 に移行するか、付属の patch を適用するか、あるいは指摘文書に添付されている回避手段を採用する。postfix 1.1.13 は、ミラーサイトにはまだなかったりもするようだ。1.1.12 と 1.1.13 の diff を取ってみた: postfix-1.1.12-1.1.13.diff

fix / patch:

2003.08.07 追記:

　[RHSA-2003:251-01] New postfix packages fix security issues. を fix / patch に追記。

■ 追記

wu-ftpd fb_realpath() off-by-one bug: 関連情報を追記。
Windows RPCプロセスの脆弱性悪用コードが公に: ワームはまだない、と言っている間にワームが出てきたようで。

■ FreeBSD Security Advisory FreeBSD-SA-03:08.realpath
(FreeBSD-security ML, Mon, 04 Aug 2003 09:04:31 +0900)

　FreeBSD の realpath(3) に wu-ftpd fb_realpath() off-by-one bug と同様の off-by-one バグがある。というか、wu-ftpd に付属しているものは FreeBSD 3.0 由来のコードだ。 lukemftpd(8) や sftp-server(8) をはじめとする、 realpath(3) を使っているコマンドに影響がある。 FreeBSD Security Advisory FreeBSD-SA-03:08.realpath に realpath(3) を使っている packages/ports の一覧がある。

　RELENG_3、RELENG_4_3～RELENG_4_8、RELENG_5_0 において修正されている。 cvsup 等を用いて最新のソースにした後に、OS を再構築する。 FreeBSD ハンドブックの 19.4. make world の利用を参照。また 5.1-RELEASE (RELENG_5_1) にはこの問題はない。

2003.08.06 追記:

　NetBSD / OpenBSD にも同様の問題がある。patch があるので適用しよう。

　lukemftpd は '-r' オプションを使っていない場合に root を取れるそうだ:

IMPORTANT FOR lukemftpd USERS (was Re: FreeBSD Security Advisory FreeBSD-SA-03:08.realpath)

　これにあわせて FreeBSD SA が改訂されている:

ANNOUNCE: [FreeBSD-Announce] FreeBSD Security Advisory FreeBSD-SA-03:08.realpath [REVISED]

■ 2003.08.01

「スーパーフリー」黒幕的存在の素顔 (TBS NEWSi)。いやはや。
戦闘地域の線引きは不可能との見方 (TBS NEWSi)。区別できません。
[aml 35157] ７／１４関電交渉／「候補地点に御坊市が入っているかどうかは言えない」（美浜の会ＨＰ）。

「アメリカで (小島注: 使用済み核燃料の輸送・貯蔵) キャスクに重大な欠陥が見つかっているという事実そのものは把握しているのか」と関電に聞くと、関電は「そのような事実は一切知らない」と答えた。また、ホルテック社の技術を導入した三井造船のキャスクを使うのかどうかについても、「まだ何も決まっていないから答えられない」という。まったく無責任きわまりない。アメリカで現実にキャスクに重大な欠陥があると言われており、大きく報道されている。しかも、同じ会社の技術で作られたキャスクを使用するかも知れないのである。関電として、「知らない」ではすまされないはずである。
セキュリティ対策の再確認について (cyberpolice.go.jp)

近々、日本国内のサイトに対し攻撃が行われる可能性があるという情報を入手しました。

と申されましても、日常とどう違うのかさっぱりわかりませぬが……。 @ Everyday People (blogspot.com) さんによりますと、「中国愛国同盟 8.1 日本進行一次愛国的网絡攻撃」なのだそうです。って、もうすぐ 2003.08.01 は終ってしまうんですけど……。手元的にはなにもなかったんですけど。
[aml 35180] 【都教委】「独特な目つき」「共感性乏しい」など、全児童に75項目の調査。すさまじいですね。東京都、さすがです。
IISShield 1.0.2 が出ています。
IIS Crash/Hang Agent & IIS Dump (Microsoft)。
IPv6 Internet Connection Firewall SDK (Microsoft)。
監視カメラ専門家会議がスタート　東京・杉並区 (毎日)。
Win-Trap 1.0。 buffer overflow 防御ソフトみたい。シェアウェア $20。
@stake tool announcements: NetScan / MobilePenTester / PDAZap。
Debian 10周年記念/Vine 5周年記念 - 新宿BOF開催 (debian.or.jp)。2003.08.16 00:00～05:00。￥1,000-。
「トロイの木馬」入りスパムが増加中　英社調査 (毎日)。少なくとも私の手元ではそのような現象は観測されていないのだが……。
住基ネットねた (毎日):
- 住基ネット公開討論会　出席者決まる
- 住基ネット参加拒否「情報抹消を」　藤沢市保護審が答申
- 住基ネット・再接続は「適当」　中野区・個人情報審が判断
FSAV for SAMBA (F-Secure)。 10 月末までキャンペーン価格だそうで。サーバ数 1 の場合の単価は￥40,000-。 F-Secure アンチウィルス for Linux からのアップグレードも可能だそうで。
Apache 1.3.28 では CGI で不具合が出るようですね。参照: [Apache-Users 2925] など。 CGI を使っている人は、1.3.28 への移行は待った方がよさそう。
[aml 35205] 緊急集会・フジモリ元大統領の引渡請求される！。日本政府は「やなこった」と言っているようですな。
固まった「30日＋30日」の脆弱性公表ルール (ZDNet)。 OIS の Guidelines for Security Vulnerability Reporting and Response Process - V1.0 (oisafety.org)。
ベガスに結集、セキュリティコミュニティーは前進できるか (ZDNet)。

これらをはじめ過去1年間に発見された数多くの脆弱性は、「情報セキュリティ」への関心の高まりとは裏腹、「情報」と「セキュリティ」という2つの単語は、いまだ相いれない関係にあるという、一部の批判的意見の裏付けとなっている。

そもそも「関心の高まり」なんてものは存在しないと思うけど。特にコンシューマー方面には。半径 50m 以内もコンシューマーだらけだなあ……。
米国防総省の『ライフログ』プロジェクト、真の目的は人工知能構築 (WIRED NEWS)。スカイネットですか? :-)
米国防総省、将来のテロ攻撃などについて賭け金を集める市場を構想 (WIRED NEWS)。USA がやったのでは、ただの自作自演になると思うのだが。

ワイデン上院議員は、政策分析市場は、退役海軍中将のジョン・ポインデクスター氏の監督のもとで実施されていると述べた。ポインデクスター氏はTIAプログラムの責任者で、1980年代にはレーガン大統領の国家安全保障顧問だった。

関連: 賭け金を集める「政府運営の政策分析市場」、支持派が反論 (WIRED NEWS)。

■ Drivial Pursuit: Internet Explorer Browser & Your Files and Folders !
(bugtraq, Thu, 24 Jul 2003 05:17:39 +0900)

　PivX な人は I can positively confirm this vulnerability on both WMP 7 and 8 on Windows 98, ME, 2000, XP and 2003 だそうなのだが、手元では再現できない……。 .asf ファイルに何か仕込んであるんですかねえ。いずれにせよ、Windows Media Player 9 な環境では問題ないのだそうだ。

　螺旋さんという方からもこれの情報を頂いたのだが、螺旋さんのところでは再現できているのだろうか……。

■ iDEFENSE Security Advisory 07.29.03: Buffer Overflow in Sun Solaris Runtime Linker
(bugtraq, Wed, 30 Jul 2003 00:57:30 +0900)

　Solaris 2.6～9 (sparc/x86) の ld.so.1 に欠陥。LD_PRELOAD 環境変数に長大な文字列を設定すると buffer overflow が発生するため、 SUID root なコマンドを利用するなどして、local user が root 権限を奪取可能。具体例として、/usr/bin/passwd を利用した攻撃に成功したという。 patch があるので適用すればよい。

　CVE: CAN-2003-0609

　発見者による情報: [Full-Disclosure] Solaris ld.so.1 buffer overflow。

■ Oracle ねた 3 つ
(various)

Buffer Overflows in EXTPROC of Oracle Database Server (Oracle)

日本語版: #57: EXTPROC実行モジュールの潜在的なセキュリティの脆弱性、対抗策 (oracle.co.jp)

NGSSoftware alerted Oracle to this vulnerability on 30th September 2002.

泣けますね……。

Buffer Overflow Vulnerability in Oracle E-Business Suite (Oracle)

日本語版: #56: E-BUSINESS SUITE の潜在的なバッファ・オーバーフロー・セキュリティの脆弱性、対抗策 (oracle.co.jp)

Unauthorized Disclosure of Information in Oracle E-Business Suite (Oracle)

日本語版: #55: EBSの一部のjspファイルの潜在的なセキュリティの脆弱性 (EBS11i 11.5.1 - 11.5.8)、対抗策 (oracle.co.jp)

　#56 と #57 は特にヤバそうですね。patch があるそうなので、適用しましょう。

　Oracle の日本語セキュリティページって新しくなっていたんですね。日本語でも通報できるみたい:

製品等における脆弱性が発見された場合、日本オラクルとサポート契約をお持ちのお客様はOiSCにログインしTARを使ってご連絡をお願いします。それ以外の場合は詳細情報をSECALERT_JP@oracle.com 宛にご連絡ください。

セキュリティホール memo - 2003.08

■ 「ウイルスチェイサー」使用時にユーザープロファイルが破損する不具合が発覚 Windows NT 4.0のNTFS環境で発生する可能性があるので注意 (窓の杜, 2003.08.26)

2003.09.02 追記:

■ Blaster ワーム対策方法 - Windows Embedded 製品 (Microsoft, ?)

■ [postfix-jp:03215] osirusoft rbl (postfix-jp , Wed, 27 Aug 2003 15:00:17 +0900)

■ 危険なクレジット・カード伝票，なぜ国内では対策されないのか (日経 IT Pro, 2003.08.26)

■ 普及の見通し立たない住基カード 住基ネットの全面活用は遠い (日経 IT Pro, 2003.08.12)

■ DNS map problem in 8.12.x before 8.12.9 (sendmail.org, Tue, 26 Aug 2003 16:37:56 GMT (info from slashdot.jp))

■ いろいろ (2003.08.26) (various)

■ 解説●プライバシー保護に関する認証サービスの違い プライバシーマークはJIS準拠，TRUSTeの基本は自己申告 (日経 IT Pro, 2003.08.19)

■ 802.11a/802.11gのWEPが解析可能に (slashdot.jp, 2003.08.25)

■ 住民基本台帳カードをゲット (高木浩光＠茨城県つくば市 の日記, 2003.08.25)

■ 弊社製Print ServerおよびDocument Gateをお使いのお客様へ 最近のWindows^(R)の脆弱性を悪用したウイルスへの対応について (富士ゼロックス, 2003.08.25 (info from タレコミ, Tue, 26 Aug 2003 11:41:32 +0900))

2003.09.02 追記:

2003.09.03 追記:

2003.09.19 追記:

■ MDAC 機能の未チェックのバッファにより、システムが侵害される (823718) (MS03-033) (Microsoft, 2003.08.21)

2003.08.26 追記:

2003.08.26 追記2:

2003.09.03 追記:

■ E-MAILワーム「Sobig.F」が2次攻撃の可能性 (F-Secure, 2003.08.22)

2003.08.25 追記:

■ Internet Explorer 用の累積的な修正プログラム (822925) (MS03-032) (Microsoft, 2003.08.21)

2003.09.09 追記:

2003.10.10 追記:

■ ウィルス / ワームねた (various)

■ ウィルス / ワームねた (various)

■ いろいろ (various)

■ SNSポリシーに関する意見 (LAC SNS, Mon, 04 Aug 2003 01:21:21 GMT)

■ Welchia / Nachi ワームねた (various)

2003.10.03 追記:

■ Blaster ねた (various)

■ [port139ml:03920] Re: Blaster ワームの対策ツール (port139 ML, Sun, 17 Aug 2003 13:47:39 +0900)

2003.08.19 追記:

■ Blaster ねた (various)

■ CERT Advisory CA-2003-21 GNU Project FTP Server Compromise (CERT/CC, 2003.08.13)

■ Blaster ワームまつり (various)

■ UNIX fixes (various)

■ 経路のセキュリティと同時にセキュアなセッション管理を - SSL/TLS でクッキーを使うときは secure 属性を付けるのを基本とする - (IPA, 2003.08.08)

2003.08.11 追記:

■ UNIX fixes (various)

■ いろいろ (various)

■ いろいろ (various)

■ ＠Sam's room at fleur d'interdit (けんのぼやき, 2003.08.07)

■ 住基ネット公開討論会ねた (various)

■ 検索エンジンリリースノート VSAPI 6.640 (トレンドマイクロ, 2003.08.05)

■ [VulnWatch] Postfix 1.1.12 remote DoS / Postfix 1.1.11 bounce scanning (Full-Disclosure ML, Mon, 04 Aug 2003 04:12:34 +0900)

fix / patch:

2003.08.07 追記:

■ FreeBSD Security Advisory FreeBSD-SA-03:08.realpath (FreeBSD-security ML, Mon, 04 Aug 2003 09:04:31 +0900)

2003.08.06 追記:

■ Drivial Pursuit: Internet Explorer Browser & Your Files and Folders ! (bugtraq, Thu, 24 Jul 2003 05:17:39 +0900)

■ iDEFENSE Security Advisory 07.29.03: Buffer Overflow in Sun Solaris Runtime Linker (bugtraq, Wed, 30 Jul 2003 00:57:30 +0900)

■ Oracle ねた 3 つ (various)

■ Remote Linux Kernel < 2.4.21 DoS in XDR routine. (bugtraq, Wed, 30 Jul 2003 04:55:34 +0900)

fix / patch:

■ Security Alert: Local User on Linux Host Can Gain Escalated Privileges (bugtraq, Thu, 24 Jul 2003 07:09:52 +0900)

■ KDE Security Advisory: Konqueror Referer Leaking Website Authentication Credentials (bugtraq, Tue, 29 Jul 2003 18:40:44 +0900)

fix / patch:

■ wu-ftpd fb_realpath() off-by-one bug (bugtraq, Fri, 01 Aug 2003 01:16:03 +0900)

fix / patch:

2003.08.04 追記:

2003.08.06 追記:

■ 「ウイルスチェイサー」使用時にユーザープロファイルが破損する不具合が発覚 Windows NT 4.0のNTFS環境で発生する可能性があるので注意
(窓の杜, 2003.08.26)

■ Blaster ワーム対策方法 - Windows Embedded 製品
(Microsoft, ?)

■ [postfix-jp:03215] osirusoft rbl
(postfix-jp , Wed, 27 Aug 2003 15:00:17 +0900)

■ 危険なクレジット・カード伝票，なぜ国内では対策されないのか
(日経 IT Pro, 2003.08.26)

■ 普及の見通し立たない住基カード住基ネットの全面活用は遠い
(日経 IT Pro, 2003.08.12)

■ DNS map problem in 8.12.x before 8.12.9
(sendmail.org, Tue, 26 Aug 2003 16:37:56 GMT (info from slashdot.jp))

■ いろいろ (2003.08.26)
(various)

■ 解説●プライバシー保護に関する認証サービスの違いプライバシーマークはJIS準拠，TRUSTeの基本は自己申告
(日経 IT Pro, 2003.08.19)

■ 802.11a/802.11gのWEPが解析可能に
(slashdot.jp, 2003.08.25)

■ 住民基本台帳カードをゲット
(高木浩光＠茨城県つくば市の日記, 2003.08.25)

■ 弊社製Print ServerおよびDocument Gateをお使いのお客様へ最近のWindows^(R)の脆弱性を悪用したウイルスへの対応について
(富士ゼロックス, 2003.08.25 (info from タレコミ, Tue, 26 Aug 2003 11:41:32 +0900))

■ MDAC 機能の未チェックのバッファにより、システムが侵害される (823718) (MS03-033)
(Microsoft, 2003.08.21)

■ E-MAILワーム「Sobig.F」が2次攻撃の可能性
(F-Secure, 2003.08.22)

■ Internet Explorer 用の累積的な修正プログラム (822925) (MS03-032)
(Microsoft, 2003.08.21)

■ ウィルス / ワームねた
(various)

■ ウィルス / ワームねた
(various)

■ いろいろ
(various)

■ SNSポリシーに関する意見
(LAC SNS, Mon, 04 Aug 2003 01:21:21 GMT)

■ Welchia / Nachi ワームねた
(various)

■ Blaster ねた
(various)

■ [port139ml:03920] Re: Blaster ワームの対策ツール
(port139 ML, Sun, 17 Aug 2003 13:47:39 +0900)

■ Blaster ねた
(various)

■ CERT Advisory CA-2003-21 GNU Project FTP Server Compromise
(CERT/CC, 2003.08.13)

■ Blaster ワームまつり
(various)

■ UNIX fixes
(various)

■ 経路のセキュリティと同時にセキュアなセッション管理を - SSL/TLS でクッキーを使うときは secure 属性を付けるのを基本とする -
(IPA, 2003.08.08)

■ UNIX fixes
(various)

■ いろいろ
(various)

■ いろいろ
(various)

■ ＠Sam's room at fleur d'interdit
(けんのぼやき, 2003.08.07)

■ 住基ネット公開討論会ねた
(various)

■ 検索エンジンリリースノート VSAPI 6.640
(トレンドマイクロ, 2003.08.05)

■ [VulnWatch] Postfix 1.1.12 remote DoS / Postfix 1.1.11 bounce scanning
(Full-Disclosure ML, Mon, 04 Aug 2003 04:12:34 +0900)

■ FreeBSD Security Advisory FreeBSD-SA-03:08.realpath
(FreeBSD-security ML, Mon, 04 Aug 2003 09:04:31 +0900)

■ Drivial Pursuit: Internet Explorer Browser & Your Files and Folders !
(bugtraq, Thu, 24 Jul 2003 05:17:39 +0900)

■ iDEFENSE Security Advisory 07.29.03: Buffer Overflow in Sun Solaris Runtime Linker
(bugtraq, Wed, 30 Jul 2003 00:57:30 +0900)

■ Oracle ねた 3 つ
(various)

■ Remote Linux Kernel < 2.4.21 DoS in XDR routine.
(bugtraq, Wed, 30 Jul 2003 04:55:34 +0900)

■ Security Alert: Local User on Linux Host Can Gain Escalated Privileges
(bugtraq, Thu, 24 Jul 2003 07:09:52 +0900)

■ KDE Security Advisory: Konqueror Referer Leaking Website Authentication Credentials
(bugtraq, Tue, 29 Jul 2003 18:40:44 +0900)

■ wu-ftpd fb_realpath() off-by-one bug
(bugtraq, Fri, 01 Aug 2003 01:16:03 +0900)