セキュリティホール memo - 2003.10

Last modified: Mon Aug 3 14:16:42 2009 +0900 (JST)


2003.10.31

いろいろ
(various)

Mac OS X 10.3 ねた
(various)

APPLE-SA-2003-10-28 Mac OS X 10.3 Panther
(apple security-announce ML, Wed, 29 Oct 2003 02:46:35 +0900)

 Mac OS X 10.3 ではいろんな欠陥を直しました、でも Mac OS X 10.3 でしか直さないから Mac OS X 10.2.x 以前の人はずーっと穴つきバリバリってことで、bye! という話。古暮涼氏による日本語訳: [harden-mac:0515]

 Mac OS X 10.2.x が維持されないようだ、ということで、当然ながら非難の声が上がっている。

 まともな会社なら「最新の OS」と「ひとつ前の OS」くらいは維持するものですが、Apple という会社はそんなことにはお構いなしのようで。最低でも 3rd party ソフトが落ちつくまで (3〜6 か月?) くらいはなんとかしてほしいところだが、それすらない。 OS 屋としては失格だよね。こんな OS を大量導入する東京大学さんはだいじょうぶなんですかねえ。


2003.10.30

追記

MS03-045: リストボックスおよびコンボボックスのコントロールのバッファ オーバーランにより、コードが実行される (824141)

Windows XP 用の修正プログラムが再リリースされている。 「Debug Programs (SeDebugPrivilege) のユーザー権利の問題」が修正されている、のだそうだ。

MS03-043: メッセンジャ サービスのバッファ オーバーランにより、コードが実行される (828035)

Windows 2000 / XP / Server 2003 用の修正プログラムが再リリースされている。 「Debug Programs (SeDebugPrivilege) のユーザー権利の問題」が修正されている、のだそうだ。

MS03-042: Windows トラブルシュータ ActiveX コントロールのバッファ オーバーフローにより、コードが実行される (826232)

修正プログラムが再リリースされている。 「Debug Programs (SeDebugPrivilege) のユーザー権利の問題」が修正されている、のだそうだ。

Apache HTTP Server 1.3.29 Released

Re:mod_alias.c の場合 (slashdot.jp)。Apache 1.3.0 の前なので、全ての 1.3.x / 2.x が該当するようですね。

O-013: Buffer Overflow in Oracle Binary [Oracle Security Alert #59]

関連: 0063-01 [Oracle]Oracle Database Server バイナリの潜在的なセキュリティの脆弱性 (CTC)。


2003.10.29

追記

[Full-Disclosure] IE Security hole exploited once again - "britney.jpg" irc worm.

いくつかの anti-virus ベンダーが対応したそうです。

[Full-Disclosure] Remote overflow in thttpd

[Full-Disclosure] [SECURITY] [DSA 396-1] New thttpd packages fix information leak, DoS and arbitrary code execution

注意:Microsoft Windows RPCの脆弱点をついたワームの拡散を懸念
(ISS, 2003.10.28〜29)

 Nachi の新種が?! という話があちこちであるようなのですが (New RPC worm?[Full-Disclosure] New variant of Nachi ? など)、ISS は、worm である可能性は低いと判断しているようです。 もっとも、そういうものがいつ出てきても不思議じゃないので、ひきつづき注意が必要なのでしょう。

 手元的には、445/tcp には目立った動きはないです。


2003.10.28

「日本のインシデント対応体制」がテーマのパネルディスカッション
(INTERNET Watch, 2003.10.23)

このような点から、小山氏は「万が一日本が局地的に狙われた場合には、米国のウイルス対策ベンダーの対応が遅れる可能性がある」と指摘。

 それは今にはじまった話ではないし、可能性ですらなく、単なる現実。 しかし、「日本のウイルス対策ベンダー」とは認識されていないようですね > トレンドマイクロ。

日本独自の調査機関として、政府などが先頭に立って行なう分析機関が複数必要だと強調した。

 政府自身の対応体制は必要だが、それは「米国のウイルス対策ベンダーの対応が遅れる可能性がある」からではないはずだよね。

Blaster発生時には、「当社の脆弱性情報を提供しているWebサイトへは数千万のアクセスが殺到し、電話は最高1日14万件の問い合わせが来た。電話対応はトータルで100万件に達している。これは、もはや1企業では対応不可能だと感じた(奥天氏)」とのこと。

 シェアを大幅に落とせば回避できます……というのはともかくとして。 全部 Microsoft に集まるようにしているからそうなるのであって。 メディアや OEM ベンダー、SI 業者をうまく使うことをきちんと考えていなかったツケなんじゃないのかなあ。

 まあ、いちばんの問題は、Microsoft がゆるゆるな製品を出荷した、ってことなんだけど。

O-013: Buffer Overflow in Oracle Binary [Oracle Security Alert #59]
(CIAC, 2003.10.21)

 UNIX / Linux 版の Oracle 9i 9.0.x / 9.2.x に欠陥。コマンド oracle と oracleO (oracle オー) に buffer overflow する欠陥があり、local user が oracle ユーザ権限を取得可能。 CIAC O-013 では Oracle 8i でも、となっているが、リンクされている Oracle Security Alert #59 では Oracle 8i にはこの欠陥はない、とされている。 また Windows 版にはこの欠陥はない。

 日本語版: 説明対応策 (oracle.co.jp)。

2003.10.30 追記:

 関連: 0063-01 [Oracle]Oracle Database Server バイナリの潜在的なセキュリティの脆弱性 (CTC)。

Apache 2.0.48 Released
(installer ML, Tue, 28 Oct 2003 08:05:24 +0900)

 Apache 2.0.47 以前 (?) に欠陥。

 Apache 2.0.48 で修正されている。2.0.48 の全ての変更は CHANGES_2.0 を参照。

Apache HTTP Server 1.3.29 Released
(vine-security ML, Tue, 28 Oct 2003 06:42:02 +0900)

 Apache 1.3.28 以前 (?) に欠陥。 mod_alias および mod_rewrite に buffer overflow する欠陥があるようだ。 CVE: CAN-2003-0542

Fix buffer overflows in mod_alias and mod_rewrite which occurred if one configured a regular expression with more than 9 captures.

 more than 9 captures ってどういう意味なんだろう。() が 10 個以上あると、とかいう話だろうか。

 Apache 1.3.29 で修正されている。1.3.29 の全ての変更は CHANGES_1.3 を参照。CGI 問題も修正されているようです。

fix / patch:

Changelog:

2003.10.30

Re:mod_alias.c の場合 (slashdot.jp)。Apache 1.3.0 の前なので、全ての 1.3.x / 2.x が該当するようですね。

2003.11.04

Miracle Linux: apache セキュリティ

2003.11.07

Vine Linux: [ 2003,11,06 ] Apache にセキュリティホール

Norton Internet Security 2003 XSS
(bugtraq, Tue, 28 Oct 2003 04:26:31 +0900)

 Norton Internet Security 2003 v6.0.4.34 (他のもかも) に欠陥。 NIS 2003 が web サイトを block した時に表示するエラーページに XSS 欠陥が存在するのだそうだ。

2003.11.18 追記:

 オフィシャル: Symantec Network Internet Security (NIS) のサイト遮断通知メッセージが正しくチェックされない (シマンテック)。 まだ fix されていない模様。

[Full-Disclosure] Remote overflow in thttpd
(Full-Disclosure, Tue, 28 Oct 2003 05:12:40 +0900)

 thttpd 2.21 〜 2.23b1 に欠陥。defang() で buffer overflow が発生、remote から任意のコードを実行可能。 thttpd 2.24 で修正されている。

 リリースノート の記述は、下の方に

Fixed buffer overflow bug in defang().

とあるだけですね。

2003.10.29 追記:

 [Full-Disclosure] [SECURITY] [DSA 396-1] New thttpd packages fix information leak, DoS and arbitrary code execution

Libnids <= 1.17 buffer overflow
(bugtraq, Tue, 28 Oct 2003 04:09:55 +0900)

 remote から任意のコードの実行が可能な模様。 これを fix した libnids 1.18 が出たそうです。

 CVE: CAN-2003-0850


2003.10.27

Internet Explorer and Opera local zone restriction bypass
(bugtraq, Fri, 24 Oct 2003 22:53:03 +0900)

 IE 6 と Opera に、local file にアクセスできてしまう欠陥がある、という指摘。 これに対して、これは IE ではなく Flash player の欠陥であるとの反論 が PivX の Thor Larholm 氏によってなされている。

In summary, when Macromedia changes their Flash player to no longer store Flash cookies in plaintext in a known location, this will no longer be an issue.

 少なくとも Flash player 6.0.65.0 にはこの欠陥があるようだ。 patch はまだない。

2003.12.17 追記:

 公式 Advisory 登場: MPSB03-08 Update to Flash Player Addressing Local Shared Object Security (macromedia.com)。 Flash Player (7,0,19,0) で修正されているそうだ。

New Trojan
(incidents ML, Sat, 25 Oct 2003 17:18:01 +0900)

 NTFS の Alternate Data Stream にトロイを仕込まれてしまいますたネタ。 フォロー で紹介されている

が興味深かったです。

[Full-Disclosure] IE Security hole exploited once again - "britney.jpg" irc worm.
(Full-Disclosure ML, Mon, 27 Oct 2003 00:16:26 +0900)

 IE 穴を使って mIRC 方面が狙われているそうですが、元ネタはこれでしょうか: Internet explorer 6 on windows XP allows exection of arbitrary code

2003.10.29 追記:

 いくつかの anti-virus ベンダーが対応したそうです。

2003.11.04 追記:

 [Full-Disclosure] _another_ Internet explorer vulnerability (spread via IRC) - new variation of irc.trojan.fgt。類似品が登場しているようで。


2003.10.23

いろいろ
(various)

MS03-047: Exchange Server 5.5 Outlook Web Access の脆弱性により、クロスサイトスクリプティングの攻撃が実行される (828489)
(Microsoft, 2003.10.16)

 old news ですが、まとめておきます。

 Exchange 5.5 の Outlook Web Access (OWA) に欠陥。 OWA にクロスサイトスクリプティング (XSS) 欠陥が存在するため、攻撃者が HTML メールを利用して、利用者のセキュリティコンテキストでスクリプトを実行させられる可能性がある。

 修正プログラムがあるので適用すればよい。ただし、Exchange 5.5 SP4 + IE 5.01 以降でないとインストールできない。また、10/23 付で修正プログラムが出し直されているので注意されたい。

 CVE: CAN-2003-0712。KB: 828489

MS03-046: Exchange Server の脆弱性により、任意のコードが実行される (829436)
(Microsoft, 2003.10.16)

 old news ですが、まとめておきます。

 Exchange 5.5 / 2000 に欠陥。「Exchange サーバー上の SMTP ポートに接続し、特別な細工をした拡張コマンドリクエストを発行」することにより、

可能になるという。

 修正プログラムがあるので適用すればよい。Exchange 2000 に対しては、特に早急なる適用が求められる。

 CVE: CAN-2003-0714。KB: 829436

 関連: MS03-046 Microsoft Exchange 2000 Heap Overflow。 XEXCH50 コマンドに欠陥があるそうです。お試しコードも公開されています。

MS03-045: リストボックスおよびコンボボックスのコントロールのバッファ オーバーランにより、コードが実行される (824141)
(Microsoft, 2003.10.16)

 old news ですが、まとめておきます。

 Windows NT 4.0 / 2000 / XP / Server 2003 に欠陥。 リストボックスコントロールおよびコンボボックスコントロール (どちらも User32.dll に含まれる) に buffer overflow する欠陥がある。この欠陥を悪用すると、特定の Windows メッセージをリストボックスあるいはコンボボックスを使用するアプリケーションに送ることにより、任意のコードを実行させることが可能となる。 Windows 2000 のユーティリティマネージャのように local SYSTEM 権限で動作しているアプリケーションに送れば、その権限を奪取できてしまう。 ただし、この欠陥を悪用するには local から攻撃する必要がある。

 修正プログラムがあるので適用すればよい。注意: Windows 2000 用修正プログラムのうち、ブラジル語、 チェコ語、 デンマーク語、 フィンランド語、 ハンガリー語、 イタリア語、 ノルウェー語、 ポーランド語、 ポルトガル語、 ロシア語、 スペイン語、 スウェーデン語、 トルコ語版については、互換性を改善するために修正プログラムが出し直されている。 これらの言語版の利用者は、最新の修正プログラムを再適用されたい。 日本語版や英語版などについては、この問題はない。 関連: Patch MS03-045 for Czech W2K has conflicting kernel32.dll

 CVE: CAN-2003-0659。KB: 824141

 関連: Listbox And Combobox Control Buffer Overflow

2003.10.30 追記:

 Windows XP 用の修正プログラムが再リリースされている。 「Debug Programs (SeDebugPrivilege) のユーザー権利の問題」が修正されている、のだそうだ。

2003.11.04 追記:

 アップデートされた理由: 830846 - Windows Update のインストール中、応答が停止するか、大部分またはすべての CPU リソースが消費される (Microsoft)。

アップデート版の (中略) 修正プログラムには、バージョン 5.4.1.0 の Update.exe が含まれています。5.4.1.0 以降のバージョンの Update.exe では [プログラムのデバッグ] のユーザー権利は必要ありません。

MS03-044: Windows の「ヘルプとサポート」のバッファオーバーランにより、システムが侵害される(825119)
(Microsoft, 2003.10.16)

 old news ですが、まとめておきます。

 Windows XP / Server 2003 に欠陥。「ヘルプとサポート」における、HCP プロトコル関連ファイルに buffer overflow する欠陥がある。この欠陥を悪用するには、攻撃者は web ページや HTML メールに悪意ある URL を記述する。ユーザがこの URL をクリックすることで攻撃が成立し、攻撃者は既存のファイルを読んだり起動させたりできる。

 この欠陥のあるコードは Windows XP / Server 2003 だけでなく Windows Me / NT 4.0 / 2000 にも存在する。しかしこれらでは HCP プロトコルを使用していないため、悪意ある URL をクリックしても攻撃が行われないようだ。

 修正プログラムがあるので適用すればよい。Windows XP / Server 2003 だけでなく Windows Me / NT 4.0 / 2000 用の修正プログラムも用意されている。

 CVE: CAN-2003-0711。KB: 825119

 関連: #NISR15102003: Microsoft PCHealth Privilege Escalation (nextgenss.com)。

MS03-042: Windows トラブルシュータ ActiveX コントロールのバッファ オーバーフローにより、コードが実行される (826232)
(Microsoft, 2003.10.16)

 old news ですが、まとめておきます。

 Windows 2000 に欠陥。Microsoft ローカルトラブルシュータ ActiveX コントロール (Tshoot.ocx) は「スクリプトを実行しても安全」とマークされているが、実際には buffer overflow する欠陥がある。この欠陥を悪用すると、web ページや HTML メールによって、クライアントコンピュータ上で任意のコードを実行させることが可能となる。

 修正プログラムがあるので適用すればよい。

 CVE: CAN-2003-0662。 KB: 826232)。

 関連: [Full-Disclosure] Microsoft Local Troubleshooter ActiveX control buffer overflow

2003.10.30 追記:

 修正プログラムが再リリースされている。 「Debug Programs (SeDebugPrivilege) のユーザー権利の問題」が修正されている、のだそうだ。

2003.11.04 追記:

 アップデートされた理由: 830846 - Windows Update のインストール中、応答が停止するか、大部分またはすべての CPU リソースが消費される (Microsoft)。

アップデート版の (中略) 修正プログラムには、バージョン 5.4.1.0 の Update.exe が含まれています。5.4.1.0 以降のバージョンの Update.exe では [プログラムのデバッグ] のユーザー権利は必要ありません。

MS03-041: Authenticode の検証の脆弱性により、リモートでコードが実行される (823182)
(Microsoft, 2003.10.16)

 old news ですが、まとめておきます。MS03-041 以降、Bulletin のフォーマットが変更されていますね。

 Windows NT 4.0 / 2000 / XP / Server 2003 に欠陥。 Authenticode が認証を確認する方法に欠陥があり、「ある特定のメモリが不足した状態」において認証ダイアログが表示されず、そのまま ActiveX コントロールがダウンロード・インストールされてしまう。この欠陥を悪用すると、悪意ある web サイトは悪意ある ActiveX コントロールをクライアントコンピュータにインストールでき、クライアントコンピュータ上で悪の限りをつくすことが可能となる。

 修正プログラムがあるので適用すればよい。

 CVE: CAN-2003-0660。KB: 823182

追記

mIRC DCC Exploit

[Full-Disclosure] remote mirc < 6.11 exploit

Microsoft Outlines New Initiatives in Ongoing Security Efforts To Help Customers: Company Announces Technology Investments to Help Protect Windows Users

関連記事: MSのパッチ公開頻度の変更はウイルス開発の抑止などが狙い (日経 IT Pro)、ポストMSBlast時代の新セキュリティ戦略を披露したマイクロソフト (ZDNet)。


2003.10.22


2003.10.21

Cross Site Java applets
(bugtraq, Tue, 21 Oct 2003 06:24:35 +0900)

 Sun の JRE 1.4.2_01 に欠陥。 別々のドメインから読み込まれた、署名されていないアプレットが、JDK の文書化されていない変数を介してデータを共有できてしまう、という指摘。

 1.4.2 系列の最新は 1.4.2_02 なのだが、こちらではどうなんだろう。

追記

buffer overflow in IRCD software

実は remote からも攻略可能なのだそうだ。 えくせるさん情報ありがとうございます。

MS03-043: メッセンジャ サービスのバッファ オーバーランにより、コードが実行される (828035)

[Full-Disclosure] port of ms03-043 dos, fix for freebsdMS03-043 Popup Messenger Servce buffer-overflow 関連話を追記。

Opera HREF escaped server name overflow
(bugtraq, Mon, 20 Oct 2003 23:39:48 +0900)

 Opera 7.11 / 7.20 の、少なくとも Windows 版と Linux 版に欠陥。A タグの HREF 属性の処理において buffer overflow が発生する。このため、悪意ある web ページ作成者や HTML メール送信者によって任意のコードを実行させることが可能となる。

 Opera 7.21 で修正されている。しかし、Opera 7.21 press releases (opera.com) には security なんて文字はどこにもない。また Changelog for Opera 7.21 for Windows (opera.com) には

Privacy and security

・ Updated to latest version of OpenSSL

としか書かれていない。この会社のセキュリティへの取りくみははあいかわらず低いレベルに保たれているようだ。

 日本語版の Opera 7.21 はまだないようですね。

tools
(various)


2003.10.20

MS03-043: メッセンジャ サービスのバッファ オーバーランにより、コードが実行される (828035)
(Microsoft, 2003.10.16)

 Windows NT 4.0 / 2000 / XP / Server 2003 に欠陥。 メッセンジャサービスに buffer overflow する欠陥があるため、これを悪用すると、remote から local SYTEM 権限で任意のコードを実行できてしまう。

 修正プログラムがあるので適用すればよい。

2003.10.30 追記: Windows 2000 / XP / Server 2003 用の修正プログラムが再リリースされている。 「Debug Programs (SeDebugPrivilege) のユーザー権利の問題」が修正されている、のだそうだ。

2003.11.17 追記: 上記の修正プログラム再リリースのうち、Windows XP 用については、 ファイルの一部が正しくインストールされないという問題 が秘密裏に修正されていたことが判明。 英語版の MS03-043 ページでは、version 2.2 (2003.11.14) でこの件が追記された。

 回避するには、メッセンジャサービスを無効にすればよい。 ほとんどの人は無効にして構わないだろう。 Windows Server 2003 では、デフォルトで無効になっている。 無効にする方法は MS03-043: 「メッセンジャー」サービスの停止方法 を参照。

 CVE: CAN-2003-0717。KB: 828035

調査ツール:

関連:

Changelog:

2003.10.21

[Full-Disclosure] port of ms03-043 dos, fix for freebsdMS03-043 Popup Messenger Servce buffer-overflow 関連話を追記。

2003.10.30

Windows 2000 / XP / Server 2003 用の修正プログラムが再リリースされたことを追記。

2003.11.17

Windows XP 用修正プログラム再リリースに関する話を追記。

意外に深刻な電波漏えい問題
(日経 BizTech, 2003.10.17)

 TEMPEST ねた。ベンダー情報: 無線LAN向けシールド設備「e-wave AEGIS(イージス)」 (クマヒラ)。 半径 20m を war walking してみた結果からは、ガラスがいちばん通りやすいような気がしているので「ガラス面シールドフィルム」だけでもかなり違うような気がしているのだが、実際にはどうなんだろう。

 しかし、いくらかかるんだろう。


2003.10.18


2003.10.17

追記

木曜日は Windows Update の日 (今月から月刊 Windows Update)

CERT Advisory などを追記。


2003.10.16

MS、Hotmailの脆弱性修正
(ZDNet, 2003.10.16)

 元ネタ: Finjan Software Discovers a New Critical Vulnerability In Microsoft Hotmail。 ---<iframe ....> などと書くと、hotmail のタグフィルタを通過できていた模様。

木曜日は Windows Update の日 (今月から月刊 Windows Update)
(Microsoft, 2003.10.16)

 だからって、こんなにいっぱいこなくても:

 MS03-043 を利用したネットワーク経由の攻撃や MS03-044 を利用したウィルスの登場がありそうかなあ。やられるまえに MS03-043 Messenger Service Scanning Utility (ISS) で調査して hotfix を適用しましょう。利用上の注意: [memo:6532]。 MS03-041 の "under certain low memory conditions" というのはどの程度の状況なんだろう。

 関連記事:

 今月から月刊 Windows Update になったのだそうで。刊行日は第 3 木曜日で固定になるのかなあ。固定にしないと意味ないはずだから、どこかに固定されると思うけど。

 ……Revamping the Security Bulletin Release Process (Microsoft) によると

Starting in October 2003, Microsoft will release security bulletins on the second calendar Tuesday of every month. However, the first set of monthly bulletins for October will be released on Wednesday, October 15, 2003.

だそうなので、第 2 水曜日 第 2 火曜日の次の日 (日本時間) ですね (ややこしい表現だなあ)。足立さん情報ありがとうございます。MORITA さん、ご指摘ありがとうございます。

2003.10.17 追記:

 関連情報:


2003.10.15

UNIX fixes
(various)

Red Hat: SANE ねた
Debian: tomcat ねた

追記

[Full-Disclosure] Bad news on RPC DCOM vulnerability

ISS も問題の存在を確認した模様です: Microsoft RPC での競合状態によるサービス不能 (ISSKK)。 MS03-039 適用済みでも DoS 状態 (crash) が発生し得るが、いつ発生するかを予測するのは困難だとしている。

TIS,個人情報漏洩の再発防止に抜本策 真相究明は難航、アプラスの会員情報流出で

中村さんからの情報を追記 (ありがとうございます)。 さらに荻野さんからの情報を追記 (ありがとうございます)。 TOP ページにはリンクがある (フレームをスクロールしましょう)。しかし NEWS ページにはないし、サイト内キーワード検索でもひっかからないのもまた事実。

ProFTPD ASCII File Remote Compromise Vulnerability

exploit: Working proftpd remote root exploit


2003.10.14

mIRC DCC Exploit
(nanog ML, Mon, 13 Oct 2003 15:48:40 +0900)

 mIRC 6.0〜6.11 に欠陥。 細工した DCC リクエストにより、remote から mIRC を crash させられる模様。 関連: mIRC Unspecified DCC Request Vulnerability (Exploit) (securiteam.com)。

 mIRC 6.12 で修正されている。 また /ignore -wd * ディレクティブにより回避できる。

 mIRC には mIRC Buffer Overflow (irc:// Links) という話もあったらしい。これは 6.11 で修正されているのだそうだ。

2003.10.23 追記:

 [Full-Disclosure] remote mirc < 6.11 exploit

buffer overflow in IRCD software
(bugtraq, Mon, 13 Oct 2003 00:39:49 +0900)

 IRCnet IRCD 2.10.3p3 以前の 2.10.x に欠陥。local から攻略可能な buffer overflow 欠陥があるそうだ。2.10.3p4 以降で修正されている。最新は 2.10.3p5。 http://akson.sgh.waw.pl/~chopin/ircd/patches/m_join.diff に patch があるそうだ。

 関連: Buffer Overflow in JOIN Command Leads to DoS (securiteam.com)。

2003.10.21 追記:

 えくせるさんから (情報ありがとうございます)。

buffer overflow in IRCD softwareに関する記載で、"Local"からbuffer overflowが可能ではなく、"Remote"から可能な様です*2。

実際にLocalIRC網を私も個人的にやっている関係で、このNewsには大変助かりました。 しかし、記事にはLocalと書いてありますが、実際にExploitを実行し、確認してみたところ明かにRemoteから可能でしたので、ご報告をさせて頂きました。

*2 付け加えますとIRCDのI-Lineでアクセスが許可されているHostからなら誰でもIRCDをDownさせることができるようです。

Openoffice 1.1.0 Denial Of Service Vulnerability
(security corporation, 2003.10.08)

 OpenOffice.org 1.1 の UNO 対応機能に欠陥。Setup.xml やコマンドラインオプションを利用して OpenOffice.org が 8100/tcp を listen している状態 (デフォルトではそうなっていない) に対して DoS 攻撃を行うことが可能、という指摘。

追記

Linux vs. Windows Viruses

Counterpoint: Linux vs. Windows Viruses。security fix されてもアナウンスされないじゃん、というケースは確かにある。

Microsoft Outlines New Initiatives in Ongoing Security Efforts To Help Customers: Company Announces Technology Investments to Help Protect Windows Users

マイクロソフト、現行のセキュリティ対策に追加して、新たな強化策を発表 〜同時に、Windowsユーザーに向けて、さらなるテクノロジーに関する投資を発表〜 (MSKK)。

[Full-Disclosure] Bad news on RPC DCOM vulnerability

Windows 用バイナリなど。


2003.10.12

Internet Explorer 用の累積的な修正プログラム (828750) (MS03-040)
(Microsoft, 2003.10.04)

 old news ですが、まとめておきます。

 MS03-032 で示された Internet Explorer 5.01 / 5.5 / 6 の欠陥が直り切っていなかった問題 (参照: 米MS、とんだお粗末-重大な脆弱性用のパッチが役に立たず) の修正。

 修正プログラムがあるので適用すればよい。ただし MS03-040 修正プログラムには副作用があるので注意すること。

 また、MS03-040 と同時に 828026 - [WMP] Windows Media Player の URL スクリプト コマンド機能の更新 が公開されている。これ自体は欠陥修正プログラムではなく機能向上プログラムのようだが、Windows Media Player にからむ欠陥も多い昨今でもあるので、ぜひ適用しておきたい。

追記

米MS、とんだお粗末-重大な脆弱性用のパッチが役に立たず

reg コマンドの問題は、Windows Server 2003 にはないらしいです。


2003.10.11

[Full-Disclosure] Bad news on RPC DCOM vulnerability
(Fri, 10 Oct 2003 23:48:52 +0900)

 MS03-039 の Universal Remote Exploit だ、とされているものが公開されています。

 コンパイルできないよーという話もあるようですが……http://www.cyberphreak.ch/sploitz/MS03-039.txt ならだいじょうぶなのだとか。

 さらに悪いことには、既存の hotfix を全て適用した場合でもまだ欠陥が残っている、という話があるそうです。DoS の他、任意のコードの実行も可能かもしれないそうで。snort シグネチャもついてます。

 さらなる fix が登場するまで、DCOM を無効にするか、あるいは (境界 | パーソナル) ファイアウォールによるアクセス制御によって回避しておいた方がいいかもしれません。 対象の port は MS03-039 の FAQ にあります。 いや、「さらなる fix」が登場するのかどうか知りませんし、ファイアウォールは常時稼働させた方がいいと思いますが。

2003.10.14 追記:

 Windows 用バイナリ (http://www.SecurityLab.ru/_exploits/rpc3.zip) が公開されています。ただし、シェルコードは含まれていません (bshell2 の中身は aaaa.... になっている)。

 RE: [Full-Disclosure] Bad news on RPC DCOM vulnerability には snort シグネチャもついていますが、検出事例があるそうで。

2003.10.15 追記:

 ISS も問題の存在を確認した模様です: Microsoft RPC での競合状態によるサービス不能 (ISSKK)。 MS03-039 適用済みでも DoS 状態 (crash) が発生し得るが、いつ発生するかを予測するのは困難だとしている。

2004.04.19 追記:

 Microsoft RPC/DCOM 用の累積的な修正プログラム (828741) (MS04-012) で修正されました。


2003.10.10

いろいろ
(いろいろ)

Windows HotFix Briefings Biweekly(10月10日版)
(@IT, 2003.10.09)

 MS03-040 には 2 つの副作用があるそうだ:

 あわせて、828026 - [WMP] Windows Media Player の URL スクリプト コマンド機能の更新2003.10.07 に追記した話が解説されている。

追記

Microsoft Outlines New Initiatives in Ongoing Security Efforts To Help Customers: Company Announces Technology Investments to Help Protect Windows Users

日本語な関連記事を追記。

Sendmail 8.12.10 released

NetBSD Security Advisory 2003-016: Sendmail - another prescan() bug CAN-2003-0694

Multiple integer overflows in XFree86 (local/remote)

NetBSD: NetBSD Security Advisory 2003-015: Remote and local vulnerabilities in XFree86 font libraries

NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL

fix / patch: に NetBSD Security Advisory 2003-017: OpenSSL multiple vulnerabilities を追加。

Windowsへの「一極集中は危険」とGartnerも賛同
(ZDNet, 2003.10.09)

 「多様性はよいことだ」はいいのだけど、重要なのは、最後のここだろう:

 だがGartnerは顧客に対して、「正しいやり方で行なうこと、さもなければ全くやらないように」と警告している。デスクトップに多様性を持たせる作業で、企業は往々にして失敗する可能性があるという。Gartnerのレポートは、サイバー攻撃が成功するケースの3分の2はシステムの設定の誤りを狙ったものであると指摘した上で、企業に対し、多様化は正しく実行できる場合以外は行なうべきではないと強調している。

 「複数のOSをずさんに管理するくらいであれば、単一のOSを厳密に管理する方が、よほど優れたセキュリティを実現できる」とレポートには記されている。

 事実上「複数のOS」は Windows + UNIX / Linux だろうが、 ずさんに管理された UNIX / Linux はカモがネギしょっているようなものですからね。

2003.10.10 追記:

 情報セキュリティ総合戦略 (経済産業省) の【戦略 2】の施策例として、こんなのが出てますね:

一極集中・依存リスクを回避した IT 基盤の形成
OS や GPS のような、一極集中・依存リスクが生じる恐れのある基盤については、企業や国民が選択肢を持てるよう、国として何らかの代替案の確保を検討。

 あと、Opinion:MS批判のCCIA報告書に物申す(Part 1) (ZDNet) なんて記事も出ているが、

端的に言えば、モノカルチャーには確かにリスクが内在するが、OS日用品化のメリットは、このリスクに伴う代償を補って余りあるほどに大きなものだ。

常にこれが成立するような書き方をしているのはよくない。 そんなものは、導入者の価値基準によっていくらでも変わるのだから。


2003.10.09

Microsoft Outlines New Initiatives in Ongoing Security Efforts To Help Customers: Company Announces Technology Investments to Help Protect Windows Users
(Microsoft, 2003.10.09)

 興味深い。 Ballmer 氏の発言全文は Remarks by Steve Ballmer, CEO, Microsoft Corporation "Partnership, Innovation and Customer Focus" Microsoft Worldwide Partner Conference New Orleans, Louisiana October 9, 2003 にある模様。

Ballmer (中略) announced that Microsoft will move to monthly patch releases, which will reduce the burden on IT administrators by adding a level of increased predictability and manageability.

 hotfix は原則として毎月 1 回だけになる模様。「今のやり方では、hotfix 適用をスケジューリングできない」といった批判への回答なのかな。 でも月イチで間にあうのかな。 Ballmer 氏の発言そのものでは

We will now go to monthly patches -- no more than monthly. If we don't need monthly, we won't have them. But no more than once a month, except for emergency patches which will be made available essentially immediately.

となっています。

Ballmer also announced that Microsoft is extending security patch support for Windows NT Workstation 4 Service Pack 6a and Windows 2000 Service Pack 2 through June 2004.

 おぉ〜?! またもや Windows NT 4.0 が延命されてしまったぞ。 「Server だけ維持」というのがわかりにくかった、ということなのかもしれないが。 Windows 2000 SP2 も来年 6 月まで維持、というのは、Service Pack サポートポリシー自身への変更がなされたということなのか、それとも単なる特例なのか。

Ballmer highlighted new tools, including Microsoft's free Software Update Services 2.0, which will be released in the first half of 2004 and will provide a seamless patch, scanning and installation experience for Windows, SQL Server, Office, Exchange Server and Visio.

 SUS 2.0 は 2004 年前半ですか。

 あと、Windows XP と Server 2003 の次の Service Pack に Microsoft's new safety technologies designed to enable customers to more effectively protect their computers and systems from malicious attacks even if patches do not yet exist or have not yet been installed というものが含まれるそうだが、詳細は明記されてませんね……。

 くぅ〜、またプレゼン資料直さナイト。

2003.10.10 追記:

 関連記事:

  Ballmer さん発言 のうしろの方を読むといいみたい。With that kind of context 〜 のあたりから。

2003.10.14 追記:

 マイクロソフト、現行のセキュリティ対策に追加して、新たな強化策を発表 〜同時に、Windowsユーザーに向けて、さらなるテクノロジーに関する投資を発表〜 (MSKK)。

2003.10.23 追記:

 関連記事: MSのパッチ公開頻度の変更はウイルス開発の抑止などが狙い (日経 IT Pro)。

背景には同社が「セキュリティ・パッチがリバース・エンジニアリングされて,ウイルスやワームが作成されている」(マイクロソフト日本法人Windows Server製品部の吉川顕太郎マネージャ)と見る事情がある。迅速な公開が必ずしもセキュリティの向上に得策でないと判断した。

 そういう面は確かにあるわけで。ポストMSBlast時代の新セキュリティ戦略を披露したマイクロソフト (ZDNet)。

高沢氏は最後に、顧客に対し幾つかのセキュリティ対策を行ってほしいと述べた。中でも「ぜひ組み込んでほしいのが、パッチマネジメントの仕組み。パッチ適用が負担になってしまうのは本来望ましくないこと。ぜひ自動化ソリューションの導入を」と言う。

 push なものと pull なものと、両方必要だと思うのですよね。 pull なものは Windows Update / 自動更新 / SUS の線でいいと思うのですが、 push 型が SMS というのは、なんだかアリを殺すのに MOAB を投下するような感じがして。 3rd party プロダクトを使えということなのかもしれないけど、patch 適用に機能を限定した、簡易 SMS みたいなものがあってもいいと思うのですよね。

2003.12.24 追記:

 つづき?: Enhancing Customer Security: New Microsoft Initiatives in the Ongoing Security Effort to Help Customers

いろいろ
(いろいろ)

追記

NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL

fix / patch: に FreeBSD Security Advisory FreeBSD-SA-03:18.openssl、 OpenBSD: DoS bugs in OpenSSL を追加。 関連記事など: に New OpenSSL remote vulnerability (issue date 2003/10/02) (ebitech.sk) を追加。

HEADS UP: upcoming security advisories

FreeBSD-SA-03:15.openssh, FreeBSD-SA-03:18.openssl 出ました。

Mac OS X 10.2.8 は他もダメダメです

いまさらですが新 path 出てますね: APPLE-SA-2003-10-03 Mac OS X 10.2.8 Revised。 古暮氏による邦訳版: [harden-mac:0513]。 新 patch の調子はどうなのかしら。

Microsoft Windows Server 2003 "Shell Folders" Directory Traversal Vulnerability
(bugtraq, Thu, 09 Oct 2003 01:19:56 +0900)

 829493 - ユーザー固有のフォルダが開かれる現象について の話。Windows Server 2003 での shell: URL 処理に .. バグがあり、攻撃者が任意のディレクトリ/ファイルへの URL を作成することが可能。 hotfix の予定はなく、次の Service Pack (Windows Server 2003 SP1) で修正される予定。

2005.04.07 追記:

 Windows Server 2003 SP1 英語版で修正されていることが確認された: penetration technique research site 参照。 また PivX によると、bid 7826 の exploit 欄にある ftpexp.html については Windows Server 2003 だけでなく Windows XP (SP2 含む) にも影響するという。

The Twenty Most Critical Internet Security Vulnerabilities (Updated) - The Experts Consensus (Version 4.0)
(SANS, 2003.10.08)

 SANS による、いちばんヤバい上位 20 個所の欠陥。Windows 10 個所、UNIX 10 個所。 一般 Windows ユーザ向けの top 1 が IIS ってことはないだろうから、 server 管理者向けの情報なのだろう。


2003.10.08

Adobe SVG Viewer (ASV) Windows 版の 3.0 以前に 3 つの欠陥
(various)

 Adobe SVG Viewer (ASV) Windows 版の 3.0 以前に 3 つの欠陥。

 Adobe SVG Viewer (ASV) 3.01 for Windows で修正されている。 http://www.adobe.com/svg/viewer/install/mainframed.html から入手できる。


2003.10.07

Blasterとともに消えた夏——書き残した舞台裏
(日経 IT Pro, 2003/10/07)

 スパークプラグが経産省で、エンジンはマスメディア、と。 そのころ私はネットに全くつなげられない環境にいたので、まつりにはほとんど参加できなかった。まあ、参加できていたとしても外野でしかないんだけどね。

あるアンチウイルス・ベンダーの担当者は,ほとんどのチャンネルに登場したそうだ。もっとも本人はあまり本意ではなかったらしく,「テレビをはじめ,新聞や雑誌などの取材にばかり時間を取られて,本来の業務がこなせなくて困った」と後日打ち明けてくれた。

 絶好の宣伝の機会だからイケイケゴーゴーだったんでしょうかねえ。

実際,筆者のまわりには,「あの騒ぎで,生まれて初めてWindows Updateを実施した」というユーザーが複数いる。

 半径 50m 以内も同様ですが、これに加えて「Windows Update したらシャットダウンできなくなっちゃった」と、Windows Update によるトラブルまではじめて経験した人もいました。

 関連: 真相●Blasterと闘った不眠不休の1週間 (日経 IT Pro)。 しかし、意図してなのかどうなのかよくわかりませんが、Telecom-ISAC や JPCERT/CC という名詞は出てこない記事ですね……。

 関連: 【 Microsoft RPC の脆弱性の流れを時系列に追っかけてみよう ・・・ 】 (@Sam さん)。

追記

HTML コンバータのバッファ オーバーランにより、コードが実行される (823559) (MS03-023)

MS03-023 に「警告」が追加されたので追記。 hotfix 適用後に IE 6 SP 1 をインストールした場合は、MS03-023 hotfix を再適用する必要がある。 [memo:6500] の件 (の一部) が明記された模様。


2003.10.06

追記

Linux vs. Windows Viruses

週末にいろいろ考えたことを追記。

Opinion:フィッシング詐欺に釣られてはいけない
(ZDNet, 2003.10.03)

 一方で、自社ドメインではないところから案内メールを送りつける輩 (例: Microsoft) もいますからねえ。なんだかなあ。

 spam だの phishing だの偽 From: のウィルス・ワームだのがこれだけ流行っているのですから、個人的には、メールへの電子署名がもっと流行ってしかるべきだと思っているのですが、「大企業」と言われるところですらほとんど見かけませんねえ。そういう訴訟が実際に行われるまで、誰も何もしないのかなあ。 (typo fixed: iida さん感謝)


2003.10.05


2003.10.03

Linux vs. Windows Viruses
(securityfocus.com, 2003.10.03)

 次期 Windows "Longhorn" では、こういう側面も改善されたりするのかなあ……。 MIME をまじめに処理するだけでもかなり違うはずなんですが。 次期 Windows では OpenBSD をベースに、というギャグもありましたね……。

2003.10.06 追記:

 いろいろと考え直してみると、著者が主張する

Instead of just reading an email (... just reading an email?!?), a Linux user would have to read the email, save the attachment, give the attachment executable permissions, and then run the executable. Even as less sophisticated users begin to migrate to Linux, they may not understand exactly why they can't just execute attachments, but they will still have to go through the steps.

については、アーカイバ (tar, zip, ...) を介することで実行許可ビットの保存が可能なので、大して意味はないように思える。

Unfortunately, running as root (or Administrator) is common in the Windows world. In fact, Microsoft is still engaging in this risky behavior. Windows XP, supposed Microsoft's most secure desktop operating system, automatically makes the first named user of the system an Administrator, with the power to do anything he wants to the computer.

については同意。管理者自動ログオンがデフォルトのプリインストール PC も少なくない、という状況が拍車をかけていると思う。「最初のユーザが管理者だけど、平常時には一般ユーザと似たりよったりの権限しかない」という Mac OS X の設計がより正しい方向だと思う。Windows XP は runas を有効活用できていない、とも言える。

Linux runs on many architectures, not just Intel, and there are many versions of Linux, many packaging systems, and many shells. But most obvious to the end user, Linux mail clients and address books are far from standardized. KMail, Mozilla Mail, Evolution, pine, mutt, emacs ... the list goes on. It's simply not like the Windows world, in which Microsoft's email programs - Outlook and Outlook Express - dominate.

 多様性はよいことだ、はそのとおりなのだが、Linux が普及したときに、そう言えるほど多様性が生じるか、という点についてはもうちょっと考える必要があると思う。 支配的なもの 1 つだけ選んで攻撃すれば十分な目標が存在、では、あまり意味はないわけで。支配的なものが存在しない世界が理想ですよね。

 逆に Windows 方面については、たとえば Netscape と Opera をプリンストールしておくだけでもずいぶん違う展開になりそう、な気はする。

2003.10.14 追記:

 Counterpoint: Linux vs. Windows Viruses。 security fix されてもアナウンスされないじゃん、というケースは確かにある。

HEADS UP: upcoming security advisories
(freebsd-security ML, Fri, 03 Oct 2003 02:08:44 +0900)

 FreeBSD-SA-03:15.openssh, FreeBSD-SA-03:16.filedesc, FreeBSD-SA-03:17.procfs, FreeBSD-SA-03:18.openssl が出るから注意してね、という話。 FreeBSD-SA-03:16.filedesc と FreeBSD-SA-03:17.procfs は出ました:

 FreeBSD-SA-03:17.procfs が出たので書きなおした。

2003.10.10 追記:

 FreeBSD-SA-03:15.openssh, FreeBSD-SA-03:18.openssl 出ました。

 FreeBSD-SA-03:18.openssl に「make world せよ」と書かれているので make world な日々……。

追記

NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL

Vine Linux: [ 2003,10,03 ] openssl にセキュリティホール を追加。

Welchia / Nachi ワームねた

トレンドマイクロは 2003.09.16 付 (パターン 631 以降) で WORM_MSBLAST.D から WORM_NACHI.A へ名称を変更。あわせて WORM_MSBLAST.[EFG] から WORM_MSBLAST.[DEF] へと 1 個ずらしている。 これに対応して、この項の記述を変更した。伏谷さん情報ありがとうございます。

DNSに影響、パッチ未発行の脆弱性を悪用するトロイの木馬「QHosts」
(ZDNet, 2003.10.03)

 Qhosts というトロイの木馬が登場したそうで。

するようだ。

 OCNのDNSサーバーに再び障害発生,最大100万人に影響 (日経 IT Pro) も関連だったりするのかな。Qhosts 関連記事:


2003.10.02

長野県の侵入実験で住基ネットに侵入成功
(slashdot.jp, 2003.10.01)

 関連: 長野県,「住基ネットに侵入成功」との一部報道を否定 (日経 IT Pro)。現在分析中なので、成功したともしていないとも言えない模様。

「当初の予定どおり,分析が終了後,プライバシーやしかるべき問題に配慮したうえで,実験を委託している業者との契約が切れる10月21日までには何らかの形で公表する。ただし,侵入可能だとしてもその点について詳細まで公けにするかどうかを決めているわけではない」(長野県 住基ネット対応チームリーダー 岡部英則氏)

CERT Incident Note IN-2003-04: Exploitation of Internet Explorer Vulnerability
(CERT/CC, 2003.10.01)

 米MS、とんだお粗末-重大な脆弱性用のパッチが役に立たず 話。とりあえず MS03-032 を適用した上で、ユーザの対応として以下を推奨している。

 また管理者の対応としては:

追記

NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL

CERT Advisory CA-2003-26 Multiple Vulnerabilities in SSL/TLS Implementations (CERT/CC) (LAC 邦訳版)、 Vendor Status Note JVNCA-2003-26: SSL/TLS の実装に複数の脆弱性 (JPCERT/CC JVN) を「関連記事など」に追記。


2003.10.01

追記

Sendmail 8.12.10 released

Sun Solaris 7〜9 用 patch が用意されました。 sendmail(1M) Buffer Overflow Vulnerability in Address Parsing Function prescan()0062-02 Sun sendmail セキュリティ脆弱性 (CTC) を参照。足立さん、福原さん情報ありがとうございます。

NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL

OpenSSL Security Advisory [30 September 2003] Vulnerabilities in ASN.1 parsing が登場したので、これに関連する記述を追加。 Cisco Security Advisory: SSL Implementation VulnerabilitiesTurbolinux Security Advisory TLSA-2003-55[SECURITY] [DSA-393-1] New OpenSSL packages correct denial of service issues 追加。「関連記事など:」を追加。

未修正のIE脆弱性が野放しに:セキュリティ専門家が警告

関連記事: IEの脆弱性を悪用したAIM/ダイヤルアップ攻撃について警告 (ZDNet)。

[VulnWatch] [DDI-1013] Buffer Overflow in Samba allows remote root compromise

Portalworks標準リポジトリにバッファオーバーフローの脆弱性 (2003年9月26日) (富士通)。 半年前の話なのに、まだ patch 情報が記載されていないようで。

829493 - ユーザー固有のフォルダが開かれる現象について

この問題は、Yoshida さんが報告している「Microsoft Internet Explorer %USERPROFILE% Folder Disclosure Vulnerability」に似ているが別の問題だそうです。_o_

「議員への技術情報提供が必要」 CPSR日本支部年次総会
(毎日, 2003.09.29)

 住基といえば、西邑 亨氏による 住基ネット問題ライブラリーが公開されていますね。 毎日の記事にもある住基カードについては 住基カードの問題点 で述べられています。

 議員方面への技術情報提については、たとえば きょうのエサ (gtk's memo) を見てもわかるように、必要ですね。 インターネットの歴史については、たとえば Internet SocietyA Brief History of the Internet (Takeharu Kudo 氏による冒頭部の邦訳) とか。最初は NCP もなかったようで。 NCP から TCP/IP への切りかえについては、たとえば RFC801: NCP/TCP TRANSITION PLAN (Adem or D.N.A. 氏による邦訳) とか。

SecurityFocus Newsletter #213 2003-9-1->2003-9-5
(bugtraq-jp, Tue, 30 Sep 2003 17:34:39 +0900)

 SecurityFocus Newsletter 第 213 号。 BO2K ですが、あたらしいのは 1.1.1 じゃなくて 1.3 beta 1a なのでは。 英語オリジナル版 SecurityFocus Newsletter #213 でも 1.1.1 になってるから仕方ないのだけど。

Interstage Application ServerにおけるJSPソースおよびディレクトリリストが漏洩する問題について (2003年10月1日)
(富士通, 2003.10.01)

 Interstage Application Server に欠陥。JSP ソースやディレクトリリストが外部に漏曳する可能性があるそうだ。patch があるので適用すればよい。

InterScan for Lotus Notes: WORM_SWEN.Aを検出するとドミノサーバが停止する
(トレンドマイクロ, 2003.09.26)

 InterScan for Lotus Notes 2.51 / 2.6 の一部 (UNIX 版の 2.51 Patch[23] と Windows 版の 2.6 Build 1278 未満) において、通知メッセージを送信するよう設定している場合に、「特定の形式のメール」(Swen がこれに該当) に対するウイルス通知メッセージを配信するとドミノ自体が停止してしまうという。

 patch があるので適用すればよい。また、通知メッセージを送信しないよう設定することで回避できる。

Mac OS X 10.2.8 は他もダメダメです
(タレコミ, Wed, 01 Oct 2003 02:28:14 +0900)

 小西さんから (ありがとうございます)。句読点とかをちょっと編集しました:

なんか皆黙っているのが不思議でしょうがないんですけど、Appleって早々にダメな10.2.8にアップデートした人の救済をする気が無いのでしょうか?
アップされているのが短期間だったから、アップデートした人が少ないから、放っておかれているのか、ユーザーが少ないMacだから騒ぎにならないのか……。

一般の人にはEther問題程深刻でなかったり、気がつかないのかも知れないですが、私の環境では、オーディオ周りが大変な事になっています。 幸いEther問題は起きていないのですが……。

某音楽アプリケーションが頻繁にクラッシュするようになったり、某音楽アプリケーション立ち上げている時にFinderその他が超重くなったりしています。 メーカーサイドでも、クラッシュログ見て10.2.8に問題がありそうだと言っています。 音楽しながら裏でMozillaなんて立ち上げていると、大変な事になります。

それから、他のディストリビューションはわからないですが、 デュアルブートで仕込んであるYellowDogはブート途中で勝手にShutdownしてしまいます。 これはYellodog MLでも話題になっています。

よくみんな黙っているなと思います。

 個人的には、いちばんの問題は、10.2.8 アップデートを簡単にアンインストールする方法がない、ということなのではないかと思ったりしています。アップデート適用前の状態に簡単に戻せればいいのだと思うのですが、Mac OS X 10.3 でもそういう方面の改善がされる様子はないようですね。表面的な機能の強化よりもむしろ、そういう点の方が重要だと思うのですけどねえ。

 黙ってる人が多いのは、宗教上の理由もあるのですかねえ。 個人的には 10.2.8 アップデートの適用を回避できているので、黙るもなにもないのですが。

2003.10.10 追記:

 いまさらですが新 path 出てますね: APPLE-SA-2003-10-03 Mac OS X 10.2.8 Revised。 古暮氏による邦訳版: [harden-mac:0513]。 新 patch の調子はどうなのかしら。


[セキュリティホール memo]
私について