セキュリティホール memo - 2004.01

　破損した MyDoom が InterScan VirusWall NT 3.53J で検出されずに通過してしまい、クライアント側で検出されることがある、という話の模様。トレンドマイクロ的には、破損した MyDoom はパターンファイル 750 以降で WORM_MYDOOM.DAM として検出するそうだ。

　この現象は「WholeMailScan 機能」を有効にすることで対応できるそうだ。手元にも、破損した MyDoom が届いているなあ。

■ 2004.01.29

》ウィルスつきメールの From が詐称されているなんてのはもはやふつうなんだから、ウィルスつきメールが来たら From 宛に通知する、なんてのはやめてほしいものです。ねえ BIGLOBE さん、DION さん。
```
Found virus WORM_MIMAIL.R in file file.zip
The uncleanable file is deleted.
(中略)
※ウイルスの種類によっては、感染コンピュータ内で取得した任意のメール
　アドレスを「発信者(From)」として設定する場合があります。
　「発信者」として設定されているメールアドレスを登録しているコンピュ
　ータが、ウイルスに感染しているとは限りませんのでご了承ください。

※本サービスはＮＥＣのＢＩＧＬＯＢＥより提供しています。
```
了承しないからね。

DIONのメールサーバがウイルスを検出したため、該当のメールのfrom アドレス宛にお知らせしております。
添付のメール配送情報にお心当たりがある場合、お客様のパソコンがウイルスに感染している可能性がございます。
至急ご確認をお願いいたします。

これだけで何を判断しろと言うのだ DION。どのような「ウイルスを検出」したのかくらい書きなさい。ったくもう。

■ tool いろいろ
(various)

》 eEye Digital Security Blast: MyDoom Virus Infection Scanning Utility

亜種にも対応しているのかなあ。
》 [Full-Disclosure] Port of FreeBSD heap to Linux。移植者は Guninski さん。

■ 「フォルダ」に見せかけ任意のファイルを実行――Windows XPを狙う手口に警告
(ITmedia, 2004.01.28)

　元ネタ: Self-Executing FOLDERS: Windows XP Explorer Part V。デモファイル: http://www.malware.com/my.pics.zip。

Windows XP は、.folder 拡張子がついているとフォルダとして表示する (.folder 拡張子のファイルにはフォルダアイコンを表示する)
ダブルクリック時にどのように処理するかは、動的に決定する (中身が HTML のようなら HTML として処理する)

ことを利用し、

攻撃プログラムを作成し、BinHex 形式でエンコード
上記 BinHex を埋め込み、さらに、それを自動的にデコードするような JavaScript を記述した HTML ファイルを用意
HTML ファイルの拡張子を .folder に
HTML ファイルを zip で圧縮

としたのが、上記デモファイルであるように見える。で、.zip を開いて、さらにフォルダが含まれていると思ってダブルクリックすると……ドカン。

　.folder 拡張子のファイルにフォルダアイコンを割りあてる、という仕様がそもそもの間違いであるように思える。手元で調べたところ、これを無効にするには、レジストリ HKEY_CLASSES_ROOT\.Folder を削除して再起動すればよいようだ。なお、Windows 2000 にはそのようなレジストリエントリはもともと含まれていなかった。Windows XP には存在した。

　typo fixed: 加納さん、Handa さん感謝。

■ MyDoom ねた: 亜種登場
(various)

　亜種 MyDoom.B が登場。MyDoom.B は

www.sco.com と www.microsoft.com を攻撃
アンチウィルス関連サイトへのアクセスを妨害
リモートアクセスポートは 1080 / 3128 / 80 / 8080 / 10080

だそうで。

W32/Mydoom.b@MM (NAI)
W32.Mydoom.B@mm (Symantec)
WORM_MYDOOM.B (トレンドマイクロ)
W32/MyDoom-B (Sophos)
Mydoom.B (F-Secure)
Mydoomを“アップデート”し、SCOとMicrosoftを攻撃する亜種 (Internet Watch)

　各社 MyDoom で統一されたようで。

　MyDoom 関連記事:

「ウイルス対策をしているのに苦情を受けた」――「Mydoom」は送信者元を詐称する (日経 IT Pro)

■ Changes to CERT Advisories [INFO#04.20510]
(CERT/CC, Wed, 28 Jan 2004 22:48:15 +0900)

　US-CERT がらみでいろいろあるようで。とりあえずお手並拝見かなあ。

■ eEye Upcoming Advisories
(eEye)

　通報済みだけどまだ修正されていない (ので詳細も公開できない) 欠陥のリスト。 remote から SYSTEM 権限を取得できてしまうものも複数含まれている。

　半年経過しても修正できない欠陥というのは、どういう欠陥なんでしょうね……。 eEye が、再現に手間取るような報告をするとも思えないし……。

2004.02.12 追記:

　半年経過していたのは ASN.1 の脆弱性により、コードが実行される (828028) (MS04-007) だったようですね。しかし、まだまだ残ってます……。

■ 2004.01.28

》 ASR による復元処理を実行中に "ドライブをフォーマットできませんでした" エラーメッセージが表示される (Microsoft)。IA64 上の XP / Server 2003 での状況だそうで。
》 821712 - DNS サーバーサービスが応答を停止する (Microsoft)。メモリリークだそうで。
》 Microsoft Baseline Security Analyzer 1.2日本語版（前編） (@IT)。
》弁護士名乗る架空メールに注意呼びかけ　国民生活センター (毎日)。いろいろ考えつくなあ……。
》ビル・ゲイツ：「MacやLinuxのほうが安全ってわけじゃない」 (CNET)。Microsoft Update はどうなっているのかなあ。
》 Windows Update 総合情報 (Microsoft)。
》 IEのポップアップ遮断機能、デフォルトでは「オフ」 (ITmedia)。あれっ、そうでしたっけ? オンにして～と声を上げないといかんですね。
》 Internet Week 2003 チュートリアルプレゼンテーション資料 (JPNIC)。
》大量破壊兵器を破棄するとアメリカからお金がもらえる？ (tanakanews.com)。
》鳥インフルエンザねた
アジア全域に蔓延、なんだろうなあ。各国の隠蔽体質が状況の悪化を招いているようでもあるし。いまのところ日本は山口の一例だけで済んでいるようだが、……。

link fixed: 清水さん感謝。
》 Trend Micro Control Manager にてパターンファイル739の配信が失敗する問題 (トレンドマイクロ)。うーむ。

■ いろいろ
(various)

》 [VulnWatch] SRT2004-01-17-0227 - BlackICE allows local users to become SYSTEM
》 Local Vulnerability in IBM Informix IDSv9.40 onedcu binary
[Full-Disclosure] SRT2004-01-18-0747 - IBM Informix IDS 9.4 contains multiple vulnerabilities
》 McAfee ePolicy Orchestrator AgentのHTTP POSTの｢バッファ誤管理に関する脆弱点｣ (NAI)

これでしょうか: bid 9476 - McAfee ePolicy Orchestrator Agent HTTP POST Buffer Mismanagement Vulnerability (securityfocus.com)。現在、修正版を開発中のようです。

2004.01.30 追記:

ePolicy Orchestrator Agent 3.0 SP1 用の patch が出ました。2.5.1 用はまだです。

2004.03.19 追記:

3.x 用に加え、2.x 用 patch も登場した模様。

■ JPCERT/CC・CERT/CC 脆弱性情報ハンドリングワークショップ
(JPCERT/CC, 2004.01.28)

　2004.03.09 14:00～17:00 東京都千代田区。申込〆切は 2004.02.27 17:00。

[参加対象企業]  主に IP (Internet Protocol) にかかわる製品を取り扱って
                いるメーカ、ベンダ
[対象参加者]  自社製品の品質保証/管理責任者

  自社開発製品に対して、脆弱性に関する品質保証、管理を行う部署、あるい
  はそれに関連する業務に携わる責任者。脆弱性情報/セキュリティ情報を全
  社 (全製品) 単位で取り扱う責任者。

　「定員になり次第、締め切らせていただきます」とあるが、その定員はなぜか明記されていませんね。ホテルニューオータニ悠の間だそうなので、入るだけ入れるのでしょう。

■ MyDoom ねた
(various)

　あいかわらず来てますね。

「MyDoom」ウイルス、過去最悪のペースで感染拡大 (ITmedia)
SCO、「MyDoom」作者に25万ドルの懸賞金 (ITmedia)
巧みなソーシャルエンジニアリングが引き起こしたMyDoomのまん延 (ITmedia)
Mydoomの感染速度は過去最大級、標的となったSCOは犯人逮捕に懸賞金 (Internet Watch)
W32/Mydoom@MM 緊急対策インターネットセミナー (NAI)
MyDoom狂想曲 (slashdot.jp)。

　アンチウィルスベンダー等からの情報 (いろいろ改訂されていますので再読しておいた方がよいでしょう):

W32/Mydoom@MM (NAI)
W32.Novarg.A@mm (シマンテック)
WORM_MIMAIL.R (トレンドマイクロ)
W32/MyDoom-A (Sophos)
Mydoom (F-Secure)

　手元的には Sobig.F の方がひどかった気がするのだが、US 的にはそうではないらしい。Sobig.F には自動停止装置が仕掛けてあったが、MyDoom は単に停止するわけではないようだ。WORM_MIMAIL.R (トレンドマイクロ) から:

バックドア活動
　ワームは外部と通信し、外部からのリモートコントロールを可能にするバックドア型ハッキングツールとしての機能を持っています。外部のユーザはこのワームが侵入したコンピュータをリモートコントロールしてファイルのダウンロードと実行を行なうことができます。

　ワームは外部との通信のためにポート3127～3198を使用します。ワームはポート3127から3198まで順番にポートのオープンを試みていき、オープンに成功したポート1つを通信に使用します。すべてのポートがオープンできなかった場合は3127に戻ってまた順にオープンを試みていきます。

　このワームのバックドア機能は"SHIMGAPI.DLL"に集められています。

その他の情報：
・システム日付が「2004年2月12日」以降だった場合、ワームは上記の「バックドア活動」のみを行ないます。それ以外の行動は行ないません。

　どうやら、新たな指令を待つようだ。うへぇ。

　巧みなソーシャルエンジニアリングが引き起こしたMyDoomのまん延 (ITmedia) でも [memo:6785] と同様、エラーメールになることを狙ったのではないかという説が示されていますね。from も to もあてずっぽうなアドレス、というメールが存在するので [memo:6786]、必ずしもそうではないような気が個人的にはするのですが……。狙ったにせよ結果的にそうなったにせよ、効果があったのは確かなようですが。

2004.01.28 追記:

　アドレス偽りウイルス発信　第４管区海保 (共同通信)。あの～、そんな状況はそこらじゅうで発生しているんですが…… > 海保 & 共同。まつださん情報ありがとうございます。

■ 834489 - Microsoft plans to release a software update that modifies the default behavior of Internet Explorer for handling user information in HTTP and HTTPS URLs
(Microsoft, 2004.01.28)

　IEにURLを偽装できるパッチ未公開の脆弱性が発見された話、ようやく fix が近日登場するようです。 Stay tuned.

　……まあ、fix というよりは仕様変更 (URL での username:password を無効にする) なのですが、これだけ悪用されている以上、仕方ないのでしょう。

■ 追記

IEにURLを偽装できるパッチ未公開の脆弱性が発見される

IE 用 fix が近日登場のようです: 834489 - Microsoft plans to release a software update that modifies the default behavior of Internet Explorer for handling user information in HTTP and HTTPS URLs 。まあ、fix というよりは仕様変更 (URL での username:password を無効にする) なのですが、これだけ悪用されている以上、仕方ないのでしょう。

また koricoli さんによると (情報ありがとうございます)、先ごろ登場した Mozilla 1.6 では、ステータスバーについても ○ になっているそうです (koricoli さんによるキャプチャ画像)。

APPLE-SA-2004-01-26 Security Update 2004-01-26

[VulnWatch] MacOS X TruBlueEnvironment Buffer Overflow

■ [mod_python] [ANNOUNCE] Mod_python 2.7.10
(Full-Disclosure ML, Wed, 28 Jan 2004 01:41:33 +0900)

　mod_python 2.7.9 で直ったはずの DoS 穴が、実は直っていなかった模様。再修正版の 2.7.10 がリリースされた。 Apache 2.x 用の mod_python 3.0.4 にはこの問題はないそうだ。

　しかし、2.7.10 にも問題が残っているという指摘が: [mod_python] Re: [ANNOUNCE] Mod_python 2.7.10。

■ symlink vul for Antivir / Linux Version 2.0.9-9 (maybe lower)
(bugtraq, 13 Jan 2004 18:37:30 -0000)

　H+BEDV AntiVir の Linux 版 2.0.9-11 以前に欠陥。一時ファイル名を予想できてしまうため、symbolic link 攻撃を受ける。

　AntiVir 2.0.9-12 で修正されたそうです。 antivir --update コマンドで自動アップデートできる他、ダウンロードページから入手できます。

■ 2004.01.27

》 DVDコピー規制協会、DVD暗号解読コード訴訟を取り下げ (WIRED NEWS)。DeCSS 話。
》 Postfix FAQ 日本語版 (kobitosan.net)。 Postfix: The Definitive Guide に付属のものをさらに拡張したもの、の日本語版だそうです。ありがたや。
》 SPF: Sender Permitted From というもの (というか方法論というか) があるんですね。知りませんでした。
》 MyDoom ウィルス、いっぱい来てます。あぁ、また名前が各社で違うですよ……。
- W32/Mydoom@MM (NAI)
- W32.Novarg.A@mm (Symantec)
- WORM_MIMAIL.R (トレンドマイクロ)
- W32/MyDoom-A (Sophos)
- Mydoom (F-Secure)
- PSS Security Response Team Alert - New Worm: W32/Mydoom@mm (Microsoft)
- Mydoom に関する情報 (Microsoft)
- 件名「hi」や「test」などの新種ウイルス「Mydoom」に注意 (Internet Watch)
- 新ウイルス「MyDoom」が急拡散 (ITmedia)
- Weekly SOC Report 2004.01.27 (ISSKK)
MyDoom は sco.com に対して DDoS するという話があるようです: [Full-Disclosure] New MiMail variant is DDoS'ing SCO.com、 SCOを狙うワーム発生 (slashdot.jp)。

しかし、なぜわざわざ存在しないアドレスに送ってくるのだろう。「いかにもありそう」なアドレスを生成しているつもりなのかな。john とか mary とか david とか、……。

debian-users ML に流入したようですね……。
》 ◆注目●スパム対策に乗り出したメール・サーバー (日経 IT Pro)。この記事、greylisting とかにはぜんぜん触れてないんですよねえ。
》 DAYS JAPAN　創刊前夜祭 2004.02.09 東京都中野区一般 700 円。
》住基ネット侵入共同実験「経費の無駄」　麻生総務相 (毎日)。住基ネットは経費の無駄ではないらしい。
》米政府のインターネット投票実験に「待った」 (毎日)。ガンガン侵入する実験にしてしまえばよいのでは。
》長野県、個人認証サービス開始遅れる (毎日)。「長野だけ」「遅れる」 (他は一律スタート) だそうで。
》迷惑メールの送信元ISPを調査・公表するプロジェクト「SPAM WATCH」 (Internet Watch)。興味深い試みですね。しかし、ケータイ向けに限られてしまいますね。
》日立の洗濯乾燥機に不具合、発煙や発火の恐れも (asahi.com)。元ネタ: 日立洗濯乾燥機修理のお願い (日立)。
》外務省、サマワ滞在者に早期出国勧める渡航情報 (読売)。元ネタ: イラク：サマーワにおけるテロの脅威 (外務省)。

イラクに対しては、危険情報において、同国全土について、「退避を勧告します」を発出しており、同国への渡航はどのような目的であれ、延期することを勧告しています。また、既にイラクに滞在されている方は、できる限り早く同国から退避されることをおすすめします。

自衛隊と公明党に向けて言うべきなのでは。
》学歴詐称疑惑：古賀議員、締まらぬ「けじめ」 (毎日)。インシデントレスポンスとしては「だめな見本」だなあ。
》陸自本隊と海自にイラク派遣命令　防衛庁長官 (asahi.com)。これもみな公明党のおかげですね。
》インフルエンザ解熱後も注意 (NHK)。

熱が下がってもしっかり休養することが感染予防の面で重要だと指摘しています。
》輸入権は洋楽の輸入盤も規制する？ (真紀奈17歳さん)。「法律上はそうである」なら、将来的には必ずそうなるでしょうね。
》「裁判員制度」で自公対立解けず…司法制度改革 (真紀奈17歳さん)。もっと時間をかけてじっくりやればよいと思うのだけどなあ……。しょせん小泉改革、ってことなんだろうけど。
》ウイルスバスター2003 製品サポートの終了について (トレンドマイクロ)。2004.12.31 で終了だそうです。これに伴い、Windows NT Workstation 4.0 のサポートも終了だそうです。
》ソフォスの「Sophos Anti-Virus」、ウイルス対策ソフトの比較テストで最多ウイルス保護アップデートおよび最速ウイルス検索を記録 (Sophos)。しかし、他社製品の場合は「本体ごと、最低 4 か月に 1 度は更新」なんてことはないわけで。そのあたりをどう考えるかかなあ。 Enterprise Manager で自動化できるようだけど。

あと、Sophos の場合はウィルスデータをただの zip で http:// なところで配ってるわけで、シマンテックのように電子署名入りとかじゃないというのをどう見るのか、と。速ければいいというものでもないでしょう。もっとも、先日のトラブルを見てわかるように、PKI 入れればいいというものでもないわけですが。

インストール速度、 VirusScan Enterprise 7.1 と比べたら、もっと高い評価に見えただろうなあ。 (つーか致命的に遅すぎだぞ、なんとかしてくれ > VirusScan Enterprise 7.1)
》警告：Enterprise Managerユーザーへの重要なお知らせ (Sophos)。英語版を見ると、最新版で既に解決されているようです。

Advisory: EM Library 1.1 release affects Enterprise Manager downloads というのも出ていますね。to include the non-Windows software packages (Macintosh, NetWare and Unix/Linux) which the new product supports だそうです。

■ APPLE-SA-2004-01-26 Security Update 2004-01-26
(security-announce@lists.apple.com, Tue, 27 Jan 2004 09:26:51 +0900)

　Mac OS X 10.3.2 / 10.2.8 用の他、なんと 10.1.5 用の patch が用意された。すばらしい。古暮涼氏による邦訳版。

　CVE: CAN-2003-0542 CAN-2003-0789 (Apache) CAN-2004-0089 (Classic) CAN-2004-0085 CAN-2004-0086 (Mail) CAN-2004-0092 (Safari) CAN-2004-0087 CAN-2004-0088 (System Configuration) CAN-2004-0090 (Windows File Sharing)。

2004.01.28 追記:

　[VulnWatch] MacOS X TruBlueEnvironment Buffer Overflow (CAN-2004-0089)

■ いろいろ
(various)

》 SYM04-002 2004年1月13日 Symantec Web Securityに、クロスサイト・スクリプティングの脆弱性

Symantec Web Security 2.5, 3.0.0, 3.0.1 に欠陥があるが、 Symantec Web Security 3.0.1 build 62 でのみ修正されている。
》 Cisco Security Advisory: Voice Product Vulnerabilities on IBM Servers
》 Vulnerability Note VU#702526: Sun Solaris allows unprivileged local user to load arbitrary kernel modules

Solaris 7～9 用の patch が用意されているので適用する。
》 [Full-Disclosure] Secunia Research: IBM Net.Data Macro Name Cross-Site Scripting Vulnerability
》 [SST]ServU MDTM command remote buffero verflow adv

関連: Serv-U ftp 4.2 site chmod long_file_name exploit、 [HUC] Serv-U FTPD 3.x/4.x "SITE CHMOD" Command remote exploit V1.0
》 Advisory 01/2004: 12 x Gaim remote overflows
- Red Hat Linux: [RHSA-2004:032-01] Updated Gaim packages fix various vulnerabiliies

■ 2004.01.26

》 Patchfinder 2.10 released! (rootkit.com)。おもしろそうだけど、試す暇が……。
》 heads-up: greylist support (Postfix Discussion ML)。experimental 版の postfix snapshot 2.0.13-20030715 以降でサポートされているのだそうです。

Major changes with Postfix snapshot 2.0.13-20030715

Support for SMTP access policy delegation to an external server. Greylisting is used as an example. See the SMTPD_POLICY_README file for further information.
》論議呼ぶ「重大な脆弱性」――実はリソース不足？ (ITmedia)。元ネタは [Full-Disclosure] DOS all platforms のようです。
》 BIND 8.4.4 がリリースされたそうです。ずいぶん時間がかかりましたね……。
》 Windows HotFix Briefings Biweekly（2004年1月23日版） (@IT)。
》米テロ対策法を逆手に取る詐欺メールが横行 (ITmedia)。

このリンクは、リンクの本当のリンク先を隠すInternet Explorer（IE）の脆弱性を利用するフォーマットになっている。IEには「www.fdic.gov」と表示されるが、実際に訪れたWebサイトはパキスタンの別のアドレスにある。

で、hotfix はいまだにないぞ、と。
》チェック・ポイント卯城氏、「ネットワーク内部には内部のためのセキュリティを」 (Enterprise Watch)。InterSpect 話。
》東京都、住基カードを利用した電子証明書を都民向けに29日提供開始 (Internet Watch)。何人使うんだろう。
》「BAGLE」が引き起こしたウイルス命名論争 (ITmedia)。この手の話って「保守アゲ」だよねえ。
》ルーマニア当局、MSBlast亜種作成の学生を告発 (ITmedia)。これも亜種だからなあ。
》ビル・ゲイツ氏、スパム業者の「財布を攻撃」する対策明らかに (ITmedia)。この「しくみ」をどうやって動かすつもりなんだろう。わけわかめ。
》池田信夫氏、MLでの法案の反対アピールにより懲戒処分へ (slashdot.jp)。 from ＭＬで個人情報保護法案反対の研究員戒告　経産省研究所 (asahi.com):

研究所は「研究員の学問、言論の自由は守られている。政府方針に反対しても構わないが、池田研究員の行為は一線を超えると判断した。改善を求めたが、受け入れられなかった」と説明する。

この件について一線を超えたのは、池田氏じゃなくて RIETI だと思うのだが。
》パターンファイル735における誤警告情報 (トレンドマイクロ)。パターンファイル 737 で修正されたそうです。

■ 追記

CERT Advisory CA-2004-01 Multiple H.323 Message Vulnerabilities

H.323 Vulnerability (checkpoint.com)。FireWall-1 で H.323 している場合は、hotfix を適用しよう。

MDAC 機能のバッファオーバーランにより、コードが実行される (832483) (MS04-003)

Windows Update に接続すると「Microsoft Data Access Components 用セキュリティ問題の修正プログラム (KB832483)」が何度も表示されるという問題が発生することがあるそうだ。インストールされている MDAC のバージョンが、修正プログラムが用意されている MDAC のバージョンに適合しない場合にそうなるようで。835173 - INF: MDAC セキュリティ修正モジュールの適用に関連する補足事項 (Microsoft) によりインストールされている MDAC のバージョンを確認し、必要であれば MDAC をアップグレードしてから Windows Update すればよい模様。修正プログラムが用意されている MDAC バージョンは:

MDAC 2.5 SP2 / SP3
MDAC 2.6 SP2
MDAC 2.7 gold / SP1 / SP1 refresh
MDAC 2.8

ふつうの人は、MDAC 2.7 SP1 Refresh か MDAC 2.8 がよろしいでしょう。関連:

MDAC 2.5 RTM / サービスパック 1 には適用できないアップデートが存在する (updatecorp.co.jp)
MDAC 2.6 RTM / サービスパック 1 には適用できないアップデートが存在する (updatecorp.co.jp)
MDAC VersionChecker (MQ DigitalCraft)

■ [Full-Disclosure] bzip2 bombs still causes problems in antivirus-software
(Full-Disclosure, Sat, 10 Jan 2004 02:37:52 +0900)

　0 だけとか 1 だけとかの巨大なファイルを作った上で、bzip2 で圧縮すると、とっても小さくなる (サンプル)。そういうものをアンチウィルスプロダクトで検査すると、ディスクが溢れたり、溢れないまでも CPU を大量に消費したりする、という話。この話は [Full-Disclosure] AV "feature" does more DDoS than Sobig ですでに指摘済みだが、「2GB の 0 なファイル」のかわりに「2GB の 1 なファイル」を用意したりすると依然として有効だ、としている。

　指摘者が問題の存在を確認しているのは

* kavscanner of
   Kaspersky AntiVirus for Linux 5.0.1.0 (probably all versions since 4.0.3.0)
* vscan of
   Trend Micro InterScan VirusWall 3.8 Build 1130 (probably other versions, too)
* uvscan of
   McAfee Virus Scan for Linux v4.16.0 (probably other versions, too)
* AMaViS 0.2.x/0.3.x, amavisd below amavisd-new-20021116, amavis-ng

　トレンドマイクロについては製品 Q&A が公開されている:

　日本語版 Q&A もいくつかあるが、英語版と同期しているわけでは必ずしもないみたい:

　AMaViS からも情報が出ている。amavis-ng と amavisd-new-20021116 以降には回避方法がある模様:

AMaViS Security Announcement 2004-01-19

　八尾さん、山本さん情報ありがとうございます。

2004.02.04 追記:

　bzip2のDoS攻撃の可能性について (NAI)。デフォルトで 15 分は CPU 過負荷攻撃が効く、とも理解できるのだが。展開時のディスクあふれ系の問題については記載されていないようだが、発生しないのだろうか。

2004.02.13 追記:

　VirusScan ASaP - bzip2のDoS攻撃に関して (NAI)。VirusScan ASaP での状況。

■ 2004.01.23

》花粉症対策の食品が続々登場、短期決戦にメーカーの鼻息荒く (日経 BizTech)。「和らげる」だの「抑える作用がある」だのがどのくらい効くのかという疑問がそもそもあるわけだが……。減感作療法をやっているお医者が近くにあるらしいので、本当はそこに行くべきなんだが……。

花粉症に悩む消費者は症状を改善できる商品を目的買いする傾向が強い。

FERC が花粉ネタを放送したとたんに EC サイトがダウンするくらいですからねえ……。

ところで、「花粉症に効くごはん」はどうなったんだろう。
》 P2Pファイル共有ソフトのトラフィックについて考えた (日経 IT Pro)。例の逮捕後は、少なくとも各地の本屋での Winny 本平積み状況はなくなったんですかねえ。
》 JANOG13 Meeting ～橋～のパネル To filter or not to filter に対するコメントが募集されています。なお、

今回のパネルでは、P2P 等のコンテンツに基づいたフィルタリングは対象としておりませんので、あらかじめご了承ください。

だそうです。

■ 追記

欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手: ASKACC に「事故調査委員会」からの「調査報告書」が 2004.01.22 付で掲載されている件など。

■ 2004.01.22

》印字式アルコール検知器の一部不具合に係るお知らせ (警察庁)。ヤナコ計測「印字式アルコール検知器 AL-100S」だそうで。
》「BINDでのDNS管理には限界がある」、DNS考案者の新サービス (@IT)。DNS DAY でお話のあった「Nominum ANS/CNS」のお話ですね。
》 SUSE LINUX、国際セキュリティ認証「EAL3」取得 (Enterprise Watch)。
》 Linux対応のセキュアOSが急増サーバーへの導入検討時期が到来 (日経 IT Pro)。というか、もうちょっと待てば、SELinux とかは「黙っていてもついてくる」ようになるのでは。それを使うかどうかはともかくとして。
》消えた単独覇権主義 (tanakanews.com)。棹を差したら前進するような気がするのですが。
》ブラジルとインドもガリレオに参加か (slashdot.jp)。ふむん。
》中小ソフトウェアメーカ向けアクティベーションシステム (slashdot.jp)。ED-CONTRIVE のプロダクトアクティベーションサービス「Play-Gate」のお話のはずなのだけど、なぜか「エロゲーとアクティベーション」スレ化している。

現在、最終的なテスト段階に入っており、今春4月をめどに正式にサービスを開始いたします。

だそうなので、Play-Gate を使えるようになるのはもうちょっと先のようです。
》 [Full-Disclosure] AV products vulnerability [Fwd: [TH-research] Upx hack tool]。 archphase's site に PEcrypt (PE 暗号化) と UPXredir (UPX ファイルを UPX には見えないように変形) というツールがあるそうで。
》 NET & COM 2004。注目は、このへんでしょうか:
「講師入院のため講演は中止になりました」というものもありますね。おだいじに……。
》 ■コラム■■コンピューターが握る？命（黒川　将光） (毎日)。
》情報通信省立ち消えの様相　小泉発言で情報独り歩き (毎日)。わは。:-)
》「社内からの脅威」に備えるセキュリティ・アプライアンス (毎日)。この手のプロダクトはこれから増えるのでしょうね。詳細は CheckPoint InterSpect (CheckPoint) を。
》求人票のネット公開で虚偽内容増える　高校教諭が発表 (毎日)。

■ 追記

Windows 98 の延長サポートフェーズが 2006 年 6 月 30 日までに延長された

「延長サポートフェーズ」の延長だ、と言いつづけていることにそもそもの問題があると思うのですが。

[RHSA-2004:007-01] Updated tcpdump packages fix various vulnerabilities

Debian GNU/Linux: [SECURITY] [DSA 425-1] New tcpdump packages fix multiple vulnerabilities
あわせて CAN-2003-1029 CAN-2004-0055 CAN-2004-0057 についても修正されている。
Turbolinux: Turbolinux Security Advisory TLSA-2004-3
あわせて CAN-2004-0055 CAN-2004-0057 についても修正されている。

[Full-Disclosure] lftp buffer overflows

Turbolinux: Turbolinux Security Advisory TLSA-2004-2

■ 2004.01.21

》 Socks Server 5 というものがあるのですね。
》 Microsoft Says IE Patch Done But Needs More Testing (techweb.com)。

“As soon as it's ready from quality [testing], we will release it,” Jones said, even if it's before the next scheduled bulletin release of February 10.

とはいうものの、quality についてはかなり敏感になっているとかいないとか……。
》 InterScan VirusWallから後継製品への移行方法について (トレンドマイクロ)。問いあわせがたくさんあったのだろうなあ。後継製品 Trend Micro InterScan VirusWall エンタープライズエディションへの移行が必要になる、と。また、InterScan VirusWall 3.x と InterScan eManager 3.x の販売は終了されるのだそうで。
》朝鮮民主主義人民共和国：食糧を得る権利が否定されている (アムネスティ・インターナショナル日本)。アムネスティ・インターナショナル日本にはいろいろ興味深いものがありますね。フジモリ元大統領に裁きをとか。
》 regviewer。UNIX でも使える Windows レジストリビューア。
》インターネット事件簿第4回：「住基ネット侵入実験」をめぐる総務省と長野県の知られざる暗闘 (Internet Watch)。

関連: 住基ネット：総務省は長野県と合同実験を　札幌市要請へ (毎日)。やまざきさん情報ありがとうございます。

実験で住基ネットに侵入可能とする長野県に対し、総務省は否定する見解を示している。札幌市は両者合同の実験を求め、実現が不可能ならば独自に実験を行う方針。
》キヤノンシステムソリューションズ、Apacheサーバー用の侵入検知防御ソフトウェアを発売 (Enterprise Watch)。
》 Turbolinux 7 Server 以降のサポート期間が、製品発売開始日から 5 年に延長されたそうだ。
- サーバー製品のサポートサービス期間のご案内
- Turbolinux 8 Serverのサポート提供期間を2008年1月までに延長他社Linux OSからの移行を促進
しかし、「2008年1月まで」と言ったらふつう「2008.01.31 まで」であって、「2008.01.01 まで」じゃないでしょう > Turbolinux。JARO に電話しなきゃ。 Turbolinux Enterprise Server 8 は「2007.12.31 まで」なんだしねえ。セコすぎ。
》 nmap 3.50 が出たそうです。

■ 2004.01.20

》 RFC2182: セカンダリーDNSサーバーの選択と運用と RFC3258: ユニキャストアドレスの共有による権威ネームサーバーの分配の和訳が JPRS から出ています。
》「VoIPがサイバー攻撃の標的に」Gartnerが警告 (ITmedia)。流行ってきていますし……。
》総務省、サイバー犯罪の罰則規定などを盛り込んだ改正電波法案を国会提出 (Internet Watch)。第159回国会（常会）提出予定法律案等（総務省）の中では、私の場合はむしろ「消防法及び石油コンビナート等災害防止法の一部を改正する法律案」の方に興味があるなあ……。
》 Windows (+ 関連) のサポートを書き直していて気がついたのだけど、IE 5.5 SP2 は 2003.12.31 で終ってるんですね。IE 5.5 では、URL spoof 穴は fix されないまま終るのだろうか……。
- Windows デスクトップ製品のライフサイクル - Internet Explorer および他の Windows オペレーティングシステムのコンポーネント (Microsoft)
……これ↑、例の延長話が反映されてないみたい。こっち↓が正しい模様:
- Windows 98, Windows 98 SE, Windows Millennium Edition (Me) (Microsoft)。
》 Opinion：もはや無視できないフィッシング (ITmedia)。
》 Bagle、あいかわらず来てますね。
- W32/Bagle@MM (NAI)
- W32.Beagle.A@mm (Symantec)
- WORM_BAGLE.A (TrendMicro)
- W32/Bagle-A (Sophos)
- Bagle (F-Secure)
Sobigの再来か?--新型ワーム「Bagle-A」感染拡大中 (CNET)。 Sobig とは比べものにならないほどおとなしいと思いますが……。
》 Microsoft Baseline Security Analyzer (MBSA) 1.2 日本語版 (Microsoft) 出ました。Windows 2000 / XP / Server 2003 な人はぜひインストールしましょう。詳細は Microsoft Baseline Security Analyzer V1.2 (Microsoft) を。 ……おや、日本語版 Microsoft Baseline Security Analyzer 1.2 早期提供のお知らせと利用上の注意点 (Microsoft) なんてページが。

日本語版 MBSA 1.2 用の修正プログラムデータベースは現在開発中でございます。(中略) 日本語版 MBSA 1.2 の MBSA ツールは、正式なものであり、ベータ版ではありません。ツールにより自動的にダウンロードされるデータベースのみベータ版でのご提供となります。

なんじゃそりゃ～。

MBSA 1.2 日本語版はIE6 SP1環境ではインストールできない? (reimy.com) という人もいるようなのだが、手元の Windows 2000 SP4 + IE 6 SP1 では問題なくインストールできてます……。
》新たな段階に入った個人情報漏洩事件・事故 (日経 IT Pro)。

ご案内：弊社は1月28日（大阪），3月16日（東京)に「個人情報保護に関する対策」をテーマにしたセミナーを開催いたします。講師はグローバルセキュリティエキスパート代表取締役の山崎文明氏と弁護士の牧野二郎氏です。

受講料：15000円だそうで。
》 lsof 4.70 が出たそうです。

■ 追記

Windows 98 の延長サポートフェーズが 2006 年 6 月 30 日までに延長された: 有償サポート契約なんて結んでいないふつうの人にとっては「Windows 98 / 98 SE / Me はもう終り」という理解で正しい。有償サポート契約を結んでいれば、問いあわせベースで、IE などのコンポーネントを含めて、新規セキュリティ hotfix を入手できる。

■ [Full-Disclosure] Lame crash in qmail-smtpd and memory overwrite according to gdb, yet still qmail much better than windows yet still qmail much better than windows
(Full-Disclosure ML, )

　qmail 1.03 に欠陥。2GB を越える長大な SMTP セッションにより、qmail-smtpd で integer overflow が発生、qmail-smtpd がクラッシュしてしまう。 Guninski 氏は it is possible to overwrite memory in qmail-smtpd 1.03 としているが、これには反論が投稿されている。

　回避するにはメッセージサイズの最大値として 2GB 以内の数字を /var/qmail/control/databytes に設定しておく、と Secunia Advisories SA10649 (secunia.com) では説明されている。しかし databytesはディスクに保存されるバイト数!? (slashdot.jp) では、databytesはディスクに保存されるバイト数であって、ネットワークを通過するバイト数ではな (qmail.jp) と指摘されている。 databytes の設定では不十分かもしれない。

　qmailにバッファオーバーフローの脆弱性 (slashdot.jp) では unofficial patch がいくつか紹介されている。肝部分は同じみたい。

#477128 (slashdot.jp)
#477144 (slashdot.jp)

　菊地さん情報ありがとうございます。

■ NetScreen Security Advisory 58290: Communications between devices running ScreenOS 5.0 and NetScreen-Security Manager not encrypted
(NetScreen, 2004.01.14)

　ScreenOS 5.0 と NetScreen-Security Manager との間の通信が、デフォルトでは暗号化されていないという話。設定さえすれば 128 bit AES で暗号化されるそうです。また NetScreen-Security Manager 2004 Feature Pack 1 で修正されるそうです。

■ 2004.01.19

》 IRAQ BODY COUNT、Min で 8000 人を突破。Max は 1 万人に迫る勢い。
》「世界情報社会サミット（WSIS）におけるインターネットガバナンス問題に関する報告会」開催のご案内 (JPNIC)。2004.01.29 14:00～16:30 東京都千代田区。無料。
》「日本語.org」の抹消を管理団体が告知も，ユーザーの反発受け一転中止に (日経 IT Pro)。
》メールの件名が「Hi」だけのウイルスメールに要注意～トレンドマイクロが危険度“中”でウイルス「WORM_BAGLE.A」を警告 (Internet Watch)。会議やってた間に流行ってたみたいだなあ……。アンチウィルスソフトが対応する前に素早く送っていただいた東芝さんの他、.ac.jp 方面からもけっこう来てました。
》今春の花粉飛散量、関東は例年比5～30％前後--気象協会 (日経 BizTech)。

関東地区の飛散量は例年比５～30％、近畿地区も同様に５～30％程度と予測している。ただし例外として、九州南部は冷夏・日照不足など気象条件の影響が少なく、調査でも発芽状況は例年並みで、飛散量もほぼ例年並みか、やや増える見通し。
》トリインフルエンザ：高病原性H5N1はヒト感染で多臓器不全引き起こす (日経 BizTech)、国立感染研、トリインフルエンザワクチン開発に着手 (日経 BizTech)。
》 Google Japanがクレームのあった検索対象を結果から除外 (slashdot.jp)。かくして多くの人が「株式会社ウェディング」を知ることになった、と。
》サポート終了予定製品のお知らせ（2004年1月～2004年6月） (トレンドマイクロ)。
》ウイルス定義（DAT）ファイル4314でのウイルス誤認について (NAI)。DAT 4315 で修正されているそうで。
》 TICにおけるspam対策 (東海インターネットワーク協議会)。

■ [vine-users:063783] 起動時のfsck にてファイル破損及び起動不良
(vine-users ML, Thu, 08 Jan 2004 00:31:24 +0900)

　Vine Linux 2.6r3 をクリーンインストールした環境において、ext3 ファイルシステムを作成すると、fsck がかかった時点でファイルシステムが破壊される、という話。たとえば shutdown -r -F now (-F = 再起動時に強制的に fsck する) でダメになるそうだ [vine-users:063787]。当面の回避策としては、Vine Linux 2.6r3 で ext3 ファイルシステムを作成した場合、たとえばそれが /dev/hda2 なら tune2fs -O ^dir_index /dev/hda2 のようにしておけばよい模様 [vine-users:063789] [vine-users:063968]。

■ 地震波が巨大構造物を襲う
(NHK スペシャル, 2004.01.18)

　東海・東南海・南海地震によって発生する「長周期地震動」によって、石油コンビナートのタンクはおろか、高層ビルが大打撃を受ける (かもしれない)、なんていう状況はこれまで誰も想定していない模様。まずすぎ、やばすぎ。弾道ミサイル防衛に 7000 億円かけてる場合じゃないと思うのだが。地震のほうが、よっぽど「今そこにある危機」だぞ……。

　再放送は 1/20 24:40 から。高層ビルにオフィスがある、なんて人は必ず見ておきましょう。

2004.03.01 追記:

　京葉臨海の石油タンク、巨大地震で半数被災…早大予測 (読売)。番組中でも取りあげられていたと記憶しています。

■ Shadow Penguin Security 閉鎖のお知らせ
(SPS, 2004.01.18)

　特定少数への情報提供に移行されるのだそうです……。 (T_T)

■ 追記

SRT2004-01-9-1022 - Symantec LiveUpdate allows local users to become SYSTEM: オフィシャル: SYM04-001 2004年1月12日 Symantec 自動LiveUpdateの脆弱性により、ローカルユーザの特権が昇格される (シマンテック)。「LiveUpdate v2.0の最新リリース」で対応されているのだそうです。CVE: CAN-2003-0994

■ 2004.01.16

》エンジンv4320のサポートについて (WebShield Appliance e250/e500 ) (NAI)。バージョン 2.5 の場合はエンジン 4320 をサポートしないそうで。
》「サイバー戦争、2005年には現実化の可能性」：ガートナー報告 (CNET)。
》 2004年展望――昨年のセキュリティ問題が拡大する (ITmedia)。

ウイルスを作成したことを自慢したり、ハッカーとして名を挙げるといったことよりも、知能犯罪を犯すことが主要目的になってきた。彼らはクレジットカード情報を手に入れており、これはもはや明白な犯罪だ。
》 NTT東西、ADSLモデム内蔵ルータやIP電話対応モデムの不具合を公表 (Internet Watch)。
》プラグイン特許訴訟--米連邦裁：「MSのIEブラウザはやはり特許侵害」 (CNET)。
》 WinSCP 3.5 が出たそうです。 stm_d さん情報ありがとうございます。

■ SecurityFocus Newsletter #227, 228
(bugtraq-jp)

■ 追記

Linux kernel do_mremap local privilege escalation vulnerability: http://isec.pl/vulnerabilities/isec-0013-mremap.txt が 2004.01.15 に改訂された。/bin/bash を起動する exploit が添付された詳細情報が記載されている。

■ 2004.01.15

》 MSとセキュリティ各社、「ファイアウォールの日」を定める (ITmedia)。Personal Firewall Day (personalfirewallday.org) の話。新しいパソコン購入者へセキュリティ対策のお願い (Microsoft) でも、まずは personal firewall ですね。
》ヤフーとACCS、Yahoo!オークションの著作権侵害出品の削除で提携 (Internet Watch)。
》「MSNニュース」と「Mainichi INTERACTIVE」が4月に統合 (Internet Watch)。ほぉ～。既存の記事はどうなるんだろう。
》情報処理学会　関西支部支部講演会『インターネットセキュリティ』 2004.02.06 (金) 13:00-17:00 梅田スカイビルタワー (JR 大阪駅) 一般 1,000 円。しかし、<title>無題ドキュメント</title> というのはいかがなものかと。
》言論統制ゴーゴー、軍国日本復活へまっしぐら、としたい人達の思惑でいろいろありますね。
- 防衛庁が取材自粛を要請　自衛隊イラク派遣の報道で (京都新聞)
- 自衛隊イラク派遣　防護マスク着用、記者も本格訓練－－埼玉・陸自朝霞駐屯地 (毎日)
- 綿井健陽　Web Journal
  【１月１１日＝自衛隊の「広報支援」取材】
- 防衛庁、会見を大幅縮小　長官や次官らに絞る (asahi.com)
- 防衛庁が定例会見縮小を提案、記者団の抗議で再協議へ (読売)
- 幕僚長ら定例記者会見中止を撤回、報道機関と協議提案 (読売)
- 武器開発「米国以外とも」　輸出三原則見直しで石破長官 (asahi.com)
- 首相、ＭＤ以外の見直しに否定的　武器輸出三原則 (asahi.com)
- 「政府として方針見直すとか検討していない」　石破長官 (asahi.com)
どうすれば武器輸出三原則と cold war とを結びつけて考えられるのか、さっぱりわからないのだが……。まあ、世界に誇る性能を持つ救難飛行艇 US-1A / US-1A 改 (slashdot.jp のスレッド) のように、「これなら輸出してもいいんじゃないの」というものはあるんですけどね。from 命を救う飛行艇―開発進む「ＵＳ１Ａ改」（７） (防長新聞)

川西部長代理は「大震災後も、災害や大規模な山林火災が起きるたび、消防飛行艇の話が浮上する。しかし時間がたてばすぐに忘れられる。何かあってからでは遅い。消防飛行艇の開発はどうしても実現させたい」と力を込める。

MD なんかより、こういうものの方がよっぽど必要だと思うんですけどねえ。
》個人情報：長野県議会事務局、公開請求者を県議に知らせる (毎日)。唖然……。
》テロリストと間違われる頻度はどれくらい？――気になるバイオメトリクス認証の「精度」 (日経 IT Pro)。関連: アメリカの外国人指紋押捺とブラジルの対抗策 (くまの世界観測)。
》航空機内における安全阻害行為等（機内迷惑行為）の防止のための改正航空法の施行について (国土交通省航空局)。罰金 50 万円。2004.01.15 から施行だそうです。ふくいちさん情報ありがとうございます。
》国際調査報告「地球温暖化で2050年までに全生物種の4分の1が絶滅」 (WIRED NEWS)。人類が絶滅しないとどうしようもないだろうなあ。
》 [ACC2003] サンドボックスモード (SandboxMode) の既定値について (Microsoft)。

■ いろいろ
(various)

》 SRT2004-01-9-1022 - Symantec LiveUpdate allows local users to become SYSTEM

シマンテックの LiveUpdate 1.70.x ～ 1.90.x に、local user が local SYSTEM 権限を取得できる欠陥があるという話。LiveUpdate 自身で修正版が配布されているそうだ。

手元ではユーザ登録しても http://www.secnetops.biz/research/SRT2004-01-09-1022.txt が読めないのだけど、他の人は読めるのかなあ。

2004.01.19 追記:

オフィシャル: SYM04-001 2004年1月12日 Symantec 自動LiveUpdateの脆弱性により、ローカルユーザの特権が昇格される (シマンテック)。「LiveUpdate v2.0の最新リリース」で対応されているのだそうです。CVE: CAN-2003-0994
》 [RHSA-2004:007-01] Updated tcpdump packages fix various vulnerabilities

tcpdump 3.8.1 以前に欠陥。ISAKMP デコード部に欠陥がある。これを悪用すると、攻撃者は remote から任意のコードを pcap ユーザ権限で実行させることが可能。

CVE: CAN-2003-0989

他の fix / patch:
- Debian GNU/Linux: [SECURITY] [DSA 425-1] New tcpdump packages fix multiple vulnerabilities
  あわせて CAN-2003-1029 CAN-2004-0055 CAN-2004-0057 についても修正されている。
- Turbolinux: Turbolinux Security Advisory TLSA-2004-3
  あわせて CAN-2004-0055 CAN-2004-0057 についても修正されている。
- Miracle Linux: tcpdump セキュリティ
  あわせて CAN-2004-0055 CAN-2004-0057 についても修正されている。
》 [SECURITY] [DSA 421-1] New mod-auth-shadow packages fix password expiration checking (日本語訳)

CVE: CAN-2004-0041。 mod-auth-shadow 1.3 以前に欠陥がある模様。 1.4 で修正されている、ように見える。 CVE には "mod-auth-shadow 1.4 and earlier" とあるけど間違いなんじゃないかな。
》 OpenBSD 3.4 errata 009: SECURITY FIX: January 13, 2004

multiple payload handling flaws in isakmpd, again (とフォロー) の話かなあ……。

2004.02.26 追記:

NetBSD Security Advisory 2004-001: Insufficient packet validation in racoon IKE daemon
》 [SECURITY] [DSA 420-1] New jitterbug packages fix arbitrary command execution (日本語訳)

CVE: CAN-2004-0028。 JitterBug 1.6.2 に欠陥。入力値の除染が不十分なため、"trusted" と設定されているユーザが任意のコマンドを実行可能。
》アドビの「紙幣の偽造防止」技術、簡単に破れることが判明 (WIRED NEWS)。

■ 追記

IE もの

[Full-Disclosure] Self-Executing HTML: Internet Explorer 5.5 and 6.0 Part IV については、PivX の Thor Larholm 氏が反論を出している: RE: Self-Executing HTML: Internet Explorer 5.5 and 6.0 Part IV。

関連記事: IEに2種類の新たなセキュリティ・ホールが見つかる (日経 IT Pro)。日経 IT Pro 勝村氏による解説記事。

銀行カード偽造、暗証番号割出しの謎が

RFIDタグは20年前の過ちを繰り返すか (高木浩光＠茨城県つくば市の日記, 2003.12.08) でも言及されていたので追記。 (info from みゃー氏なページ) (link fixed: しばてんさん感謝)

Windows 98 の延長サポートフェーズが 2006 年 6 月 30 日までに延長された

ニュースリリース出ました: Microsoft(R) Windows(R) 98、Microsoft Windows 98 Second EditionおよびMicrosoft Windows Millennium Edition の延長サポート期間を2006年6月30日までさらに延長することを決定 (Microsoft)

■ 2004.01.14

》イスラエルの清算 (tanakanews.com)。
》 Learn About or Report Fraudulent E-mails (citibank.com)。日常的に発生しているようで。 Anti-Phishing.org というサイトもあるそうで。 (info from Handlers Diary January 13th 2004)
》米旅客機にミサイル防衛システム導入を検討 (WIRED NEWS)。

それではなぜ、ノースロップ社は民間旅客機を防御することができるのかどうかを調査するために2年もの時間が必要なのか？

軍産複合体を維持するための「公共事業」だからでしょ……。
》「9ヵ月以内に起きる地震の予知に成功」UCLAが発表 (WIRED NEWS)。本当に安定した結果が得られるのならすごいけど……。
》 One Point Wall (netagent.co.jp) ですが、「SSL対応のSoftEther0.50beta3もちゃんとブロックできるようになりました」そうです。杉浦さん情報ありがとうございます。

SoftEther 作者の登さんは [softether:00362] で次のようにおっしゃっていらっしゃいますね:

これは推測ですが、おそらく SSL 接続があった場合接続先のホストに対して SoftEther のプロトコルと同じプロトコルで実際に接続してみて、応答が返ってきたら接続先は仮想 HUB であるとして認識しているのだろうと思います。

もちろん、「One Point Wall」に対応するように SoftEther を修正することは簡単にできますが、そもそも One Point Wall は、会社などでシステム管理者が意図的に SoftEther の外向き通信を妨害するためのファイアウォールですので、それに対抗しようなどとは考えておりません。

SoftEther を SSL 対応にした理由は、「ファイアウォールをすり抜ける」ためではありません。

純粋に安全な暗号化通信を実現するという目的のために SSL を導入したのであり、SoftEther の通信を検出することを難しくするために SSL を導入したのではありませんので誤解されぬようお願いいたします。

■ 銀行カード偽造、暗証番号割出しの謎が
(TBS, 2004.01.13 (info from タレコミ))

　ATM だと 3 回間違えたあたりでロックされてしまうが、自動音声案内を使えば、何度でも試せる上に、1 日 3 回程度のトライなら疑われないのだそうだ。なんじゃそりゃー。

　しばてんさん情報ありがとうございます。

2004.01.15 追記:

　RFIDタグは20年前の過ちを繰り返すか (高木浩光＠茨城県つくば市の日記, 2003.12.08) でも言及されていたので追記。 (info from みゃー氏なページ)

■ Windows 98 の延長サポートフェーズが 2006 年 6 月 30 日までに延長された
(various)

　延長されたのは「延長サポートフェーズ」です。「非サポート対象フェーズ」ではありません。というか、これまで「旧ライフサイクルガイドライン」に従うとされてきた Windows 98 / 98 SE / Me を「新ライフサイクルガイドライン」に従うものとする変更のようです。 Windows デスクトップ製品のライフサイクル (Microsoft) はそのうち書き直されるのでしょう。

Windows 98のサポート、2006年6月30日まで延長 (ITmedia)
マイクロソフト、Windows 98/Meのサポートを2006年6月30日まで延長 (Internet Watch)
Windows 98/98SE/Meのサポート期間延長 (slashdot.jp)
山本さんから (ありがとうございます):

私も/.Jで読んでから気になって、ＭＳＫＫの担当営業に確認しました。

その回答では、
(中略)
> 2004年1月16日をもって非サポート対象フェーズへ移行予定であった
> Windows 98、Windows 98 SEおよび
> Windows Millennium Edition (Me)の延長サポート期間（Extended
> Support phase）を2006年6月30日までさらに延長することを決定しました。
> 従来からの4年というサポート期間が適用されていたWindows 98 SEに対し、
> 弊社の新しい製品には適用されている7年というサポート期間を適用すべき
> だという判断であると思います。
(中略)
> 今回のサポート期間延長に関する全詳細情報は、明日1月15日付けで
> 以下のサイトに掲載される予定です。
> http://support.microsoft.com/lifecycle
加藤さんからは「16 日に発表があるという情報を MS の人から聞きました」という情報をいただいています (ありがとうございます)。
Win 98サポート延長は、バルマーCEOの「顧客第一主義」の表れか (ITmedia)

　今週中には全体像がはっきりしそうです。

　しかし……これで Windows 9x/Me サポートをやめられなくなったソフトベンダーはどのくらい出てくるのでしょう。 Windows 9x/Me なんて、たいていは low spec な機械で動きつづけているのでしょうし。正直ぞっとするものがあるのですが……。

2004.01.15 追記:

提供サポート内容：有償サポート契約をお持ちのお客様に対し、製品サポート（*1）、およびセキュリティ修正プログラム（リクエストベース）
*1：QA対応、既存ホットフィックスの提供。

　Windows デスクトップ製品のライフサイクル (Microsoft) の [6]:

Windows98、および Windows98 Second Edition (SE) の製品サポートを 2006 年 6 月 30 日までご提供いたします。有償サポート契約をお持ちのお客様は、2006 年 6 月 30 日まで、通常ご利用いただくサポート窓口にて既存セキュリティホットフィックスを無償にてご提供いたします。また同じように、有償サポート契約をお持ちのお客様は、2006 年 6 月 30 日まで通常ご利用いただくサポート窓口にて新規セキュリティホットフィックスをリクエストしていただくことが可能です。お客様の環境において修正プログラムの提供が必須と判断された場合にセキュリティホットフィックスをご提供いたします。オンラインセルフヘルプサポートは、製品サポート終了後、最短でも 1 年間 (2007 年 6 月 30 日まで ) ご利用いただけます。既にご案内させていただいているとおり、メインストリームサポートは 2002 年 6 月 30 日で終了、また、無償サポート、およびセキュリティ以外のホットフィックスサポートについては 2003 年 6 月 30 日で終了しています。

2004.01.20 追記:

　上記を引用したときには [6] だったのだが、今では [5] になっている。中身は同じようだ。

　で、「延長」の実態なのだが、上記の

有償サポート契約をお持ちのお客様は、2006 年 6 月 30 日まで通常ご利用いただくサポート窓口にて新規セキュリティホットフィックスをリクエストしていただくことが可能です。お客様の環境において修正プログラムの提供が必須と判断された場合にセキュリティホットフィックスをご提供いたします。

が肝のようだ。つまり

有償サポート契約を結んでいないと、新規セキュリティ hotfix は入手できない。もちろん Windows Update にも載らない。
有償サポート契約を結んでいても、サポート窓口にリクエストしないと新規セキュリティ hotfix は入手できない。

　有償サポート契約なんて結んでいないふつうの人にとっては「Windows 98 / 98 SE / Me はもう終り」という理解で正しい。

　また、Windows 9x/Me 上での IE などのコンポーネントについてだが、OS 本体と同様に、有償サポート契約者は 2006.06.30 までセキュリティ hotfix を入手できる。ただし最新のコンポーネントのみ対応となっている。

Windows 98, Windows 98 SE, Windows Millennium Edition (Me) (Microsoft)

2004.01.22 追記:

　「延長サポートフェーズ」の延長だ、と言いつづけていることにそもそもの問題があると思うのですが。

■ MDAC 機能のバッファオーバーランにより、コードが実行される (832483) (MS04-003)
(Microsoft, 2004.01.14)

　MDAC 2.5～2.8 に欠陥。MDAC を利用するクライアントが発生させる特定のブロードキャストリクエストに対して、細工したリプライを返すと buffer overflow が発生。これを悪用することで任意のコードを実行させることが可能。ただし Winows Server 2003 64 bit Edition に同梱の MDAC 2.8 にはこの欠陥はない。

　具体的にはこんな感じのようだ:

ブロードキャストドメイン内にニセ SQL Server を設置
標的がネットワーク上のコンピュータ一覧を得ようとして、リクエストパケットをブロードキャスト
ニセ SQL Server が攻撃リプライパケットを返す→攻撃終了

　MDAC 2.5～2.8 用の修正プログラムが用意されているので適用すればよい。事実上、世の中のほとんど全ての MDAC にこの欠陥が存在するので注意されたい。

　CVE: CAN-2003-0903。KB: 832483。

2004.01.26 追記:

MDAC 2.5 SP2 / SP3
MDAC 2.6 SP2
MDAC 2.7 gold / SP1 / SP1 refresh
MDAC 2.8

　ふつうの人は、MDAC 2.7 SP1 Refresh か MDAC 2.8 がよろしいでしょう。関連:

MDAC 2.5 RTM / サービスパック 1 には適用できないアップデートが存在する (updatecorp.co.jp)
MDAC 2.6 RTM / サービスパック 1 には適用できないアップデートが存在する (updatecorp.co.jp)
MDAC VersionChecker (MQ DigitalCraft)

■ Exchange Server 2003 の脆弱性により、権限が昇格する (832759) (MS04-002)
(Microsoft, 2004.01.14)

　Exchange 2003 and Outlook Web Access Issue の話。Outlook Web Access (OWA) を実行する際に、フロントエンドサーバとバックエンドサーバ間で NTLM 認証を利用している場合に欠陥。 HTTP 接続を再利用する方法に欠陥があり、ある OWA ユーザが別の OWA ユーザのメールボックスにアクセスできてしまう (ただし、ランダムに)。 OWA for Microsoft Exchange Server 2003 を実行している Exchange Server 2003 でのみ発生。 Exchange 5.5 / 2000 にはこの欠陥は存在しない。

　フロントエンドサーバに適用するための修正プログラムが用意されているので適用すればよい。また、回避策に記載されている方法で回避できる。

　CVE: CAN-2003-0904。 KB: 832759。

■ CERT Advisory CA-2004-01 Multiple H.323 Message Vulnerabilities
(CERT/CC, 2004.01.14)

　H.323 プロトコルを実装した各社のプロダクトのいくつかに欠陥。元ネタ: NISCC Vulnerability Advisory 006489 (uniras.gov.uk)。現在明らかになっている欠陥ありものとしては:

Avaya: Vulnerability Issues in Implementations of the H.323 Protocol
Cisco: Cisco Security Advisory:Vulnerabilities in H.323 Message Processing
Microsoft: Microsoft Internet Security and Acceleration Server 2000 H.323 フィルタの脆弱性により、リモートでコードが実行される (816458) (MS04-001)
対象: ISA 2000, SBS 2000 / 2003
外部から Microsoft Firewall サービス権限で任意のコードを実行可能。修正プログラムがあるので適用すればよい。
KB: 816458
Nortel: NISCC Vulnerability Advisory 006489 参照
RadVision: NISCC Vulnerability Advisory 006489 参照
Tandberg: NISCC Vulnerability Advisory 006489 参照

　CVE: CAN-2003-0819。 CERT/CC Vulnerability Note: VU#749342

2004.01.26 追記:

　H.323 Vulnerability (checkpoint.com)。FireWall-1 で H.323 している場合は、hotfix を適用しよう。

■ Helix Server / Gateway のサービス運用妨害 (DoS) 攻撃に関する脆弱性
(RealNetworks, 2004.01.12)

　Helix Universal Server / Gateway 9、Helix Mobile Server / Gateway 10 に欠陥。RealNetworks Administration System plug-in に欠陥があり、特定の HTTP POST メッセージによる DoS 攻撃を受ける。ただしこの攻撃を行うには、当該サーバへの管理者ログインが必要。なので、ふつうの状況では問題にならないのかな。

　この欠陥を修正した plug-in が用意されているので入れかえればよい。

　英語版: Potential Server/Proxy Denial-of-Service Vulnerability (real.com)

2004.03.02 追記:

　Helix Server / Gateway の潜在的な脆弱性 - 更新版 (real.com)。 Helix Universal Server / Gateway 9 のアップデート版が登場。

■ 追記

CVS security update: Debian GNU/Linux: [SECURITY] [DSA-422-1] multiple CVS improvements

■ 2004.01.13

》 Windows 98/98SE/Meのサポート期間延長 (slashdot.jp)。 Microsoft Extends Win 98 Support (PCWorld.com, 板垣さん感謝)。本当なのか? Microsoft PressPass には何もないし、 Product Lifecycle Dates - Windows Product Family も変化してない。まあ、正しいにせよ何かの間違いにせよ、Microsoft から何か出るだろうからそれを待つべきなのだろう。
》 AMDZone Forums に Athlon 64 用の memtest30 があるそうです。
》 stone 2.2b 話ですが、ここで書いた話は 2.2a で達成されていると猿丸さんにご指摘いただきました (ありがとうございます)。指摘メールから引用:

2.2a → 2.2b は SSL に関するバグ修正です。CVS のログにしか書いてありませんが。

2.2 → 2.2a も未初期化変数の参照で勝手に timeout してしまうというバグ修正の方が、新規機能追加よりも重要だと思います。
》 PIRが“日本語.org”を一斉抹消と告知、国内レジストラは反発 (Internet Watch)。こんな無茶をやられては、そりゃあ反発するよねえ。
》 SoftEther β3 が出ています。この版から SSL 対応になりました。鍵な話は結局どうなったんだろう。 SSL といえば、マスタリングTCP/IP SSL/TLS編が書店に並んでますね。

from SoftEther バージョン 0.50 ベータ 3 のダウンロードを開始 (softether.com):

一般の Web ブラウザで https://仮想HUBサーバー名/ にアクセスすると、既定の HTML ページが表示されるようになります。

「既定の HTML ページ」の内容は変更できるんだろうか。変更できないとすると、SoftEther かどうかの判断に使えそう。
》明日は月刊 Windows Update の日です。full-disclosure ML によると、今月はネタが 3 つある (しかし IE URL spoof ねたは fix されない) そうですが……。
Norton ねた。あとで「追記」の形に書きなおします。
- After January 7, 2004, your computer slows down and Microsoft Word and Excel will not start (symantec)
  2004.01.13 02:43 AM 時点でもまだ US 文書に追いつけてないってどういうことなのだ > シマンテック。
- ベリサイン CRL配布サイトのレスポンス遅延について (日本ベリサイン)
  現在は解消されているそうです。

■ 追記

CVS security update: Red Hat Linux: [RHSA-2004:003-01] Updated CVS packages fix minor security issue

■ 2004.01.09

》 [aml 37300] アルジャジーラが日本に支局開設へ。
》レッシグ教授へのインタビュー、PDFで公開開始 (真紀奈17歳さん)。これでインターネットマガジンを探さなくて済みますね。(^^;)
》 319011 - エラーメッセージ : 次のファイルが存在しないかまたは壊れているため、Windows 2000 を起動できませんでした: \Winnt\System32\Config\System (Microsoft)

この問題は、McAfee GroupShield Exchange v5.0 for Microsoft Exchange 2000 Server がコンピュータにインストールされている場合に発生することがあります。
》 PortForwarder 2.0 が出ています。また、 PuTTY を INIファイル対応にするパッチ (ARI's 資料館) と PuTTY を PortForwarder みたいにするパッチ (ARI's 資料館) が出ています。佐藤さん情報ありがとうございます。
》日本初！商用で最高レベルとなるEAL4のセキュリティ認証を取得 (富士通)。SymfoWARE Server Enterprise Extended Edition 4.0 が EAL4 を 1 げっとずさー、だそうです。
》 FBI、警察によるIP電話盗聴保証を要請 (ITmedia)。そうら来た。
》海自内部資料が外部流出　業者入手 (毎日)。おもしろそうな資料だなあ。
》事故を記録するカメラ搭載型ドライブレコーダー (slashdot.jp)。３回目の事故 (MAD 研究所, info from slashdot.jp #468784)。「自己防衛」という意味でも、近未来はやっぱり「いつでもどこでも誰にでもカメラつき記録装置」なのかな。ウェアラブルコンピューティング方面もかなり進んできているようだし。並行的に「証拠の改ざん」も進んでいくのでしょうが……。
》（Ｒ）日記さんが閉鎖されてますね……。
》 stone 2.2b 出ています。-r (SO_REUSEADDR), -b (バックアップ中継先), -B (中継先グループ), -c (コアダンプディレクトリ) オプションが増えているのかな。
》「SoftEtherを危険視するのはおかしいです」――19歳の開発者に聞く (ITmedia)。セキュリティポリシーの見直しを迫るツール、ではありますね。あるいは、自分が設定していたセキュリティポリシーが本当は何を意味するのかを問いかける、と言うか。
》 iTunesのDRMが破られた模様 (slashdot.jp) なのだそうで。

■ 追記

ハイパースレッディング対応マシンにて修正プログラムをアンインストールすると発生する問題

池田さんから情報をいただきました (ありがとうございます)。

Norton AntiVirus 2003 で 2004 年 1 月 7 日付のウイルス定義ファイルを更新後、コンピュータの動作が不安定になった

ルート証明書を更新すると追加されるもの、2004/01/08 で有効期間が切れるルート証明書に関する記述を追記。

もしかして、これって日本語版固有の現象だったりします? ……そうではないようだ:

Verisign Certificate Expiration linked to Symantec AV issue (isc.sans.org)
Verisign Certificate Expiration Causes Multiple Problems (slashdot.org)

slashdot.org でも「WindowsUpdate でルート証明書を更新したら直った」という報告があります (#7923860)。トラブっている人は、試してみましょう。

あと、シマンテックの推奨対応策が「[発行元証明書の取り消しを確認する] のチェックを外す」に変更されています:

2004 年 1 月 7 日以降、コンピュータの動作が異常に遅くなり、Microsoft Word や Excel が起動できなくなった (シマンテック)

この現象は、2004 年 1 月 7 日から 1 月 8 日にかけて、ベリサイン社のサーバーに対し異常な数の「証明書失効リスト」のダウンロードを要求する接続が行われたことに起因しています。2004 年 1 月 7 日以降、ダウンロード要求の接続が急激に増加したため、ベリサイン社のサーバーの処理効率の低下を招くことになりました。

プログラムのセキュリティ維持のため、シマンテック製品は定期的にシステムコンポーネントの整合性を確認する作業を行っていますが、上述の理由によりベリサイン社のサーバーの処理効率が低下していたため、整合性の認証を行うことができなくなっていました。そのため、コンピュータの動作が異常に遅くなるなどの現象を引き起こしていました。

■ 834374 - Windows Update でエラーが発生した場合のエラー番号について
(Microsoft, 2003.01.09)

　Windows Update 時のエラー番号と、その対応方法との間の対応表。波間さん情報ありがとうございます。以下は個人的に興味深かった点:

834403 - Windows Update でエラー番号 0x800A138F が表示される

解決方法 3
システム時刻を確認します。システム時刻に 100 日以上の誤差があると SSL は機能しません。Windows の [日付と時刻のプロパティ] を開き、システム時刻を正しい日時に設定してください。

　来週の水曜日 (2004.01.14) は Windows Update の日です。備えましょう。

■ [SECURITY] INN: Buffer overflow in control message handling
(bugtraq, Thu, 08 Jan 2004 11:16:38 +0900)

　ネットニュースサーバ INN 2.4.0 に欠陥。コントロールメッセージを処理するコードに buffer overflow 穴があり、remote から INN 動作権限で任意のコードを実行可能。 INN 2.3.x 以前にはこの欠陥はない。INN 2.4.1 で修正されている。advisory には INN 2.4.0 用の patch が添付されている。

■ 2004.01.08

》ウインドウズセキュリティホールの詳細 (NAI) というページがあるんですね。
》 McAfee Support Information [2004/01/08] によると、 NAI VirusScan の新スキャンエンジン 4320 が正式にリリースされたそうです。今のところは Engine Only SuperDAT のみ、かつ英語版のみだそうで。 2004.02.04 以降、ふつうの SuperDAT にも含まれるそうです。

■4320 Engine新機能
-Microsoft Office 2003 XML ドキュメントのサポート
-RAR フォーマットへの対応の改善
-最新の ZIP ファイルフォーマットへの対応
-破損ZIPファイルへの対応の改善
》インターネット事件簿第3回：京都府警がWinnyに叩きつけた挑戦状 ―「われわれはすべてを解き明かした」 (Internet Watch)。

「Winnyの作者は、某有名国立大学の助手を務めている人物です。学内での立場もあり、今回の事件で家宅捜索を受けたことで開発をこれ以上進めるのは無理なのではないでしょうか」
》アメリカによる世界経済支配の終焉 (tanakanews.com)。
》お代官様、あんまりだ。 (真紀奈17歳さん)。第６回知的財産戦略本部議事録 (首相官邸) より引用:

○中山本部員
(中略)
　私個人の意見が封じられるなら大した問題にないのですけれども、実は多くの弁護士や裁判官や研究者等々の、知財の専門家に対して議論をする場、あるいは議論をする時間が全く与えられていないということが最大の問題だと考えております。
　今、行われているような世界に例を見ないような大きな知財改革を行うに際しまして、これほど短い時間で行うという例も私は知りません。　例えばアメリカにおきましては、数年をかけて、各界の議論を基にして、特許裁判所は弊害が大きいということで、特許裁判所に代わってＣＡＦＣをつくったという経緯がございます。
(中略)
　仮に今の改革ができたといたしましても、現実に裁判等々を運営していく知財の専門家から、これほどまでの怨嗟の的になっていて、果たして実効性のある改革ができるかという点を私は非常に危惧しております。

小泉改革の真髄、ってやつですかね。公明党も強力にバックアップしてくださっているし。
》 OpenSourceSM4: これでいいのかインターネット～spamとプライバシーの観点から～。2004.02.07 14:00-18:00、名古屋市中区 (鶴舞)、一般 1,500 円。渥美さん情報ありがとうございます。

■ Norton AntiVirus 2003 で 2004 年 1 月 7 日付のウイルス定義ファイルを更新後、コンピュータの動作が不安定になった
(Symantec, 2004/01/08)

　表題のとおり。現象としては、アイコン上で右クリックした場合の右クリックメニューの表示や、Microsoft Office の動作が遅くなったりするそうだ。原因不明なれど、いくつかの操作で改善されることがあるそうです。

IE のインターネットオプション → [詳細設定] で [サーバー証明書の取り消しを確認する] のチェックを外し、再起動
Microsoft Office を最新版にアップデートする
Office プラグインを無効にする
システムの日付を 1 週間前に戻す

　うーむ。もしかして、CA証明書を更新したJDK1.4.2_03リリースや [memo:6762] 中間ＣＡ局証明書の期限切れが関連だったりするんだろうか。手元のテスト用 Windows 2000 SP4 + Norton AntiVirus 2003 + 2004/01/07 data ではべつに問題ないみたいです。このテスト環境 (VMware) には Microsoft Office は入っていないから助かっているのかなあ。よくわからん……って、私にすぐわかるようなら、シマンテックがとっくに解決しているのだろうなあ。

　みゃーさん、小山田さん情報ありがとうございます。「晴れ姿」にも期待しております > みゃーさん。

2004.01.08 追記:

　i_to_shi さんから情報をいただきました (ありがとうございます):

この件ですが、おそらくベリサインの中間CA局証明書の期限切れが原因です。
http://www.verisign.co.jp/server/cus/rootcert/gsid_intermediate.html

プログラムの中にベリサインのデジタル署名を使用しているものが含まれているのだと思います。
社内で発生している環境と発生しない環境があり(私はOffice付でも大丈夫でした)、違いを調べていると、どうもルート証明書の更新が関係しているようでした。 OSが持っている証明書の期限が切れてしまい、デジタル署名自体がダメになり、プログラムがダメダメに… 影響を受けていたマシンでルート証明書の更新し再起動したところ直りました。
WindowsUpdateの「インストールする更新の選択」のOS名のところにルート証明書の更新があります。「重要な更新」に入っていないので、ルート証明書を更新していない人は多いのではないでしょうか。

実は全然違うのかもしれませんが、問題が起きたときとベリサインの期限切れのタイミングが一致するので、ビンゴだと思っています。シマンテックにも伝えているので、今は検証中だと思います。ダメモトでも、時間を変更するよりははるかにマシな手だと思うので、

「WindowsUpdateでルート証明書を更新してください」

と一行載せてくれるといいのですが… ルート証明書を更新したとことで、他のプログラムに影響が出るとも思えないですし。

＃なぜベリサインを疑ったのかというと、期限切れの影響で午前中ずーっと対応に
＃追われておりました…

　ルート証明書を更新しても、IE に付属するベリサイン中間 CA 局証明書自身は更新されないようです。でもそれでうまくいった例がある、ということは、……やっぱり謎。

　…… Windows 2000 SP4 + Norton AntiVirus 2003 な環境のルート証明書を見ていたのですが、「Symantec Root CA」というもの (有効期限 2011/05/01) が入っているんですね。

2004.01.09 追記:

　ルート証明書を更新すると、VeriSign 関係では以下のものが追加されるように見えます:

　2004/01/08 で有効期間が切れているルート証明書もいくつかありますね:

　もしかして、これって日本語版固有の現象だったりします? ……そうではないようだ:

Verisign Certificate Expiration linked to Symantec AV issue (isc.sans.org)
Verisign Certificate Expiration Causes Multiple Problems (slashdot.org)

slashdot.org でも「WindowsUpdate でルート証明書を更新したら直った」という報告があります (#7923860)。トラブっている人は、試してみましょう。

　あと、シマンテックの推奨対応策が「[発行元証明書の取り消しを確認する] のチェックを外す」に変更されています:

2004 年 1 月 7 日以降、コンピュータの動作が異常に遅くなり、Microsoft Word や Excel が起動できなくなった (シマンテック)

この現象は、2004 年 1 月 7 日から 1 月 8 日にかけて、ベリサイン社のサーバーに対し異常な数の「証明書失効リスト」のダウンロードを要求する接続が行われたことに起因しています。2004 年 1 月 7 日以降、ダウンロード要求の接続が急激に増加したため、ベリサイン社のサーバーの処理効率の低下を招くことになりました。

プログラムのセキュリティ維持のため、シマンテック製品は定期的にシステムコンポーネントの整合性を確認する作業を行っていますが、上述の理由によりベリサイン社のサーバーの処理効率が低下していたため、整合性の認証を行うことができなくなっていました。そのため、コンピュータの動作が異常に遅くなるなどの現象を引き起こしていました。

■ 追記

Linux kernel do_mremap local privilege escalation vulnerability

Fedora fix では RTC 問題の修正は含まれていなかった。 RTC 問題はさらに新しいパッケージ 2.4.22-1.2140.nptl で修正されている。

Linux Kernel do_mremap Improved Test。 Red Hat Linux 7.1～8 用 package があるのは「特別に」でなく、2003.12.31 以前に用意されていたからだった: 板垣さん感謝。

欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手

2004年1月4日の朝日新聞のACCS関連記事について (A.D.200X)
脆弱性報告と～の壁 (SAKURAI's site)

コーディネーション組織は、ものすごく必要とされている、と思う。

■ 2004.01.07

》サービスメニュー (セキュリティ夜話)。半径 50m 的には、頼むの絶対無理だな……。
》 Windows 2000 または Windows XP を実行するコンピュータから Blaster ワームまたは Nachi ワームを駆除するツールについて (Microsoft)。いまさらという気がしないでもないけど、……。
》 The Event Log Stops Logging Events Before Reaching the Maximum Log Size (Microsoft, info from [memo:6759])。おぉ、これは。Windows XP / Server 2003 ではどうなっているんだろう。
》 One Point Wall (netagent.co.jp)。WinMX、2ch、SoftEther、FF11 を対象とするコンテンツフィルタだそうです。オーダーメイドで特定の通信をフィルタ対象とするサービスも行われるそうです。

なお、SoftEther 作者の登氏によると、SoftEther の次の版では全ての通信を SSL で暗号化しようと考えていらっしゃるそうです [softether:00101]。softether ML、活発ですね……。
》学内向けOSライフサイクル情報 (uec.ac.jp)。 OS のサポートポリシー (ここ) よりもわかりやすいのでかなりくやしい (笑)。

……渥美さんから (ありがとうございます)

学内向けOSライフサイクル情報 (uec.ac.jp)にある，Windowsのライフサイクルの有償サポート終了日となっていますが，ホットフィックス提供終了日の方が使いやすいのではないでしょうか．

たとえばWindowsNT4.xは有償サポート終了日が2003年6月30日ですが，ご存じの通りホットフィックスは2004年6月30日まで提供されます．
http://www.microsoft.com/japan/windows/lifecycle.asp#_ftn7

■ 追記

欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手: Motoyuki's Diary 2004/1/6(Tue) に関連する話。

■ JPCERT/CC インターネット定点観測システム Welchia/Nachi ワームの感染活動が減少していることを観測
(JPCERT/CC, 2004.01.07)

　ISDAS を見ると、ICMP ECHO および 135/tcp が大幅に減少しています。一方、年末年始におけるワームの活動状況について(01/06) (@police) では ICMP ECHO は減っているが 135/tcp は微増だとしています。

　これについて、いぬいさんから以下の指摘をいただきました (ありがとうございます):

ご指摘のとおり、135/tcpの検知件数について、 @policeとJPCERTの数字の傾向が一致していないようです。この理由について、少し考察してみましたので、参考にしていただければ幸いです。

Nachiの感染動作は、(ご存知とは思いますが) ICMP ECHO REQUESTに応答するIPアドレスに対して、 135/tcpでのアクセスにいくとのことですので、 ICMP ECHO REQUESTに応答するかどうかで、その後の135/tcpにアクセスがくるかどうかが変わってくるのではないでしょうか。

@policeの定点観測のページを見てみると、元々ICMPの検知件数に比して、 135/tcpの検知件数が桁が1つ違うほど少ないようです。逆にJPCERTの定点観測の数字を見ると、 ICMPに比して135/tcpが若干少ないですが、桁が違うという差ではないようです。
この状況から、
@policeの観測機器は、ICMP ECHO REQUESTにECHO REPLYを返さない、
JPCERTの観測機器は、ICMP ECHO REQUSTにECHO REPLYを返す、
と設定されている推測しています。

どちらも観測機器の設定の詳細を公開していないので、正解かどうかはわかりませんが、割と合理的な説明になっているかなと思います。

　手元では ICMP ECHO REPLY を返しているので JPCERT/CC の結果と符合する、と。なるほど……。

　……JPCERT/CC の山賀さんに確認情報をいただきました (ありがとうございます)。上記で正しいそうです (警察庁さん了解済)。

■ 2004.01.06

》特許庁、特許法改正に伴う運用指針をWebサイトで公開 (日経 BizTech)。
》防衛庁初の小中学生向け広報ビデオが完成しました。送付を希望する小中学校からの申込みを受付中です。 (防衛庁)。小中学生って……。幼稚園向けって感じがするんだが……。どう考えても中学生には見せられないだろこれは。中学生が相手なら、正々堂々と正面から話をすべきだと思うぞ。
》 memdump-1.0 (Solaris/BSD/Linux memory dumper)。
》 Communitas ex Machina ドラフト公開、 CeMについての指摘　 (真紀奈17歳さん)。インターネットマガジンって、たしかにあまり見かけない……。
》ドコモ曰く、「クローン携帯は存在しない」 (slashdot.jp)。中の人にはできる (slashdot.jp) そうですし、NTT 自身を含め不祥事なんていくらでもあるわけで、

弊社の携帯電話サービスにおいては、携帯電話機及び通信ネットワーク並びにシステム等において、極めて複雑・高度な技術を用いたセキュリティ対策が幾重にも施されているため、お客様の携帯電話機からデータ等を読み出し、クローン携帯を作ることは技術的に考えられません。

って言われても、ねえ。
》 [connect24h:6908] 2004年問題。こんな話があったとは。[connect24h] 自身とヽＲノ日記さんちにフォローあり。
》 Microsoft Documents:
》 Announcing adore-ng 0.31 ですか……。なんだかなあ。
》情報処理推進機構が発足　ソフトのぜい弱性検証も (毎日)。セキュリティ技術ラボラトリー (IPA) というものもできたのだそうで。セキュリティ欠陥届出窓口とかできるとありがたいなあ……。
》総務省、市区町村庁内LANの遠隔セキュリティー診断へ (毎日)。長野県が実施した「市町村ネットワークの安全性調査」を受けての対応 (総務省)。内側の守りの強化を図る方向に進んだ、という意味では一歩前進なのかな。長野県がさんざん騒がないと進まない、という意味ではあいかわらずなのかな。
》道交法改正：携帯電話使用で罰金　警察庁が法案提出へ (毎日)。「道路交通法改正試案」に対する意見の募集について (警察庁)。〆切 2004.01.23 (金)。
》お、地震だ……。そんなにひどくはなかったので、だいじょうぶかな。
》年末年始におけるワームの活動状況について(01/06) (@police)。 135/tcp、@police は微増だとしているが、手元的には減少しているんですよね……。明日には JPCERT/CC ISDASも更新されると思うので、それと比較するのも一興かと。
》 Developers Summit 2004、2004年1月29日(木)・30日(金) 東京コンファレンスセンター品川、ですか。

■ Linux kernel do_mremap local privilege escalation vulnerability
(Full-Disclosure, Mon, 05 Jan 2004 21:30:32 +0900)

　Linux カーネル ~~2.2 /~~ 2.4 / 2.6 系全てに欠陥。mremap(2) の境界チェックに欠陥があり、長さ 0 の異常な仮想記憶領域を作成することができてしまう。これを利用すると、local user が root 権限を奪取することが可能となる。

当初 Linux カーネル 2.2 にもこの欠陥があるとされていたが、2.2 にはこの欠陥はないことが明らかになっている。参照: [Full-Disclosure] Linux mremap bug correction

　Linux カーネル 2.4.24 / 2.6.1-rc2 で修正されている。また各ディストリビュータから修正パッケージが登場し {ている|しつつある} ので入れかえればよい。 CAN-2003-0984 の欠陥もあわせて修正されているようですね。

fix / patch:

Red Hat Linux: [RHSA-2003:417-01] Updated kernel resolves security vulnerability
Red Hat Linux 7.1～8 は 2003.12.31 でサポートが終了しているが、~~特別に~~修正パッケージが用意されている。(「特別に」でなく、2003.12.31 以前に用意されていたからだった: 板垣さん感謝)
Fedora Core 1: [SECURITY] Updated kernel resolves security vulnerability
上記パッケージには RTC 問題の修正は含まれていません。 RTC 問題は 2.4.22-1.2140.nptl で修正されています。
Turbolinux: Turbolinux Security Advisory TLSA-2004-1
Miracle Linux: kernel-2.4.9 セキュリティ
Vine Linux: [ 2004,01,11 ] kernel にセキュリティホール
Debian GNU/Linux: [SECURITY] [DSA 413-1] New Linux 2.4.18 packages fix locate root exploit

Changelog:

2004.01.07

Linux カーネル 2.2 にはこの欠陥はない話。 [SECURITY] [DSA 413-1] New Linux 2.4.18 packages fix locate root exploit 。

2004.01.08

Fedora では RTC 問題の修正は含まれていなかった。 RTC 問題は 2.4.22-1.2140.nptl で修正されている。

Linux Kernel do_mremap Improved Test。 Red Hat Linux 7.1～8 用 package があるのは「特別に」でなく、2003.12.31 以前に用意されていたからだった: 板垣さん感謝。

2004.01.16

[ 2004,01,11 ] kernel にセキュリティホール

■ 追記

CA証明書を更新したJDK1.4.2_03リリース

　Oracle 製品にも同じ問題があったようです。三月兎さん情報ありがとうございます。

VeriSignのルート証明書の有効期限について (oracle.co.jp)
Verisign CAルート証明書　期限切れ問題の説明 (日立)

■ 欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手
(slashdot.jp, 2004.01.04)

　ACCS運営ホームページのセキュリティ問題について（2003/11/11）の話なのだけど、とりあえずの話として、「ネットの脆弱さに警鐘」国立大研究員が個人情報を公表 (asahi.com) と、たとえば朝日新聞オンライン記事データベース「聞蔵（きくぞう）DNA for Libraries」で検索すると出てくる

個人情報守れぬサイト危険性指摘の研究員が 1200 人分引き出す
研究員のサイト侵入警鐘逸脱し過激化「手直し迫ろうと騒ぎ」

とを読み比べると、かなり心証が違うわけで。『研究員のサイト侵入警鐘逸脱し過激化「手直し迫ろうと騒ぎ」』にある解説部分

○事業者の安全策不十分

　《解説》身近なインターネットサイトにも個人情報流出の危険性が残る背景には、サイトの安全性を評価する仕組みが不十分であることと、対策の必要性について意識の低いサイト運営者やサーバー提供事業者が少なくないことがある。

　今回、個人情報を引き出した研究員は、様々なサイトの「欠陥」を匿名で指摘したが、多くは無視され、対策がとられてもその経過が利用者に公表されなかったという。

　サイト運営者やサーバー提供事業者側からすれば、匿名で指摘されても返答や対応をしづらい面がある。相手にサイトに侵入する意図があるかもしれず、メールを返信するとかえって侵入方法のヒントを与えかねないからだ。

　専門家からは、企業や団体のサイトの安全性を調査、公表する仕組みを求める声が出ている。経済産業省の外郭団体・情報処理振興事業協会は、外部から寄せられる欠陥情報をどのように扱うかを検討している。

　一方、日本では第三者に指摘されないとサイト運営者やサーバー提供事業者が欠陥を改善しない傾向が続いてきた。

　０２年５月、エステティックサロン大手のサイトから約３万８千人分の個人情報が流出した。公開の情報と同じ場所に、非公開にすべき情報が保存されていた初歩的な欠陥だった。

　これ以降、同じ種類の欠陥を持つサイトが外部の第三者によって次々と、ネット上の匿名掲示板で暴露された。今ではこの欠陥を持つサイトは大幅に減ったとされる。

　経済産業省はサイトの安全性について専門家の検査を受けるようサイト運営者に呼びかけているが、浸透していないのが実情だ。

　ネット問題に詳しい牧野二郎弁護士は「個人情報保護が社会問題となるなか、サイト運営者やサーバー提供事業者が十分な安全対策をとらず漫然と放置することは、犯罪的行為とも言える」と話している。

がざっくり抜けている「ネットの脆弱さに警鐘」国立大研究員が個人情報を公表 (asahi.com) は「office ゴラァ」で終ってしまい、バランスに欠ける記事になってしまっていると思うのだが。

　関連: Tea Room for Conference No.1642。

2004.01.06 追記:

　被害を拡大、深刻化させる方向に運用されはじめた「不正アクセス禁止法」(2004.1.6) (netsecurity.ne.jp)。

筆者がこの事件で一番気になるのは、個人が特定のインターネットサイトの安全性の確認を行うことを抑圧する方向に「不正アクセス禁止法」が運用されようとしているのではないかという点である。

2004.01.07 追記:

　from Motoyuki's Diary 2004/1/6(Tue) :

当該カンファレンスに出席した (と思われる) 小島さんのセキュリティホール memoや office 氏の掲示板に出入りしている人の論調を読んで非常に気になった点。

* 「新聞の意図」なるものの分析に興味があるらしい。
* 「office 氏ゴラァ」で終わる記事ではバランスに欠けるらしい。なぜ？
* 多数が見ている場所で入手した個人情報を公開する必要があったのかという話題にはあまり触れたくないように見える。

　以下、ポイント毎に書いておく。

2 か月も前にすでに知っていたのだから「なぜ今頃になって?」と思うし、その疑問が「何の意図をもって?」に変化するのは 1 秒で十分。少なくとも私にとってはそうだった。
単に一個人をバッシングすれば世の中の危険な CGI がなくなるわけではないし、危険な CGI を稼働させているサイトの個人情報がきちんと保護されるようになるわけでもない。
言わすもがなのことをわざわざ記述しないと「あまり触れたくないように見える」わけですか。なんだかなあ。

office 氏の行為という観点ではポイントは 4 つある。
1. ACCS サイトの CGI から個人情報を引き出してしまった点。
2. ACCS サイトの CGI から個人情報を引き出す際の手法の点。(不正アクセス禁止法に抵触するか否か、など)
3. ACCS サイトの CGI から個人情報を引き出す際の手法を 0-day で公開してしまった点。
4. ACCS サイトの CGI から個人情報を引き出す際の手法を公開する際に、取得した個人情報の一部を、モザイクや墨塗りなしにそのまま示してしまった点。
多くの人が指摘しているように、少なくとも 4. は避けるべき行為。 3. も誉められたものではない。 1. については「CGI のソースが読めた段階で通報する」が考えられるが、ではそれで相手に話が通じるのか、というと、なかなか難しいのも現実だろう。もちろん、そもそもそういうことを行うべきかという話はあり、これの政治的に正しい答えは「よいこは真似しない」だろう。 2. については、実際に裁判をしてみないとわからないし、裁判官依存でもあるだろう。

現時点 (2004/01/07 1:00 AM) で office 氏のサイト (www.office.ac) 上に「ACCS のユーザ様 (中略) への謝罪」と題した文書が掲載されているが、 office 氏自身が個人情報が含まれる資料を多数のカンファレンス参加者 (asahi.com によれば約 300 人) に向けて公開した点、さらに発表資料 (Microsoft PowerPoint らしい) を参加者にコピーして配布した点については一切触れられていない。

　「office 氏自身が個人情報が含まれる資料を多数のカンファレンス参加者 (asahi.com によれば約 300 人) に向けて公開した」というのは、多分、 A.D.2003 会場内に主催者が設置したサーバに置かれていた、ということなのだろうが、私自身はその時点でそこにあったのかどうかは確認していない。もしそのような状況にあったのなら、主催者から何らかのアナウンスがされてしかるべきだろう。私の知る限り、主催者からはそのようなアナウンスはされていない。

　「発表資料 (Microsoft PowerPoint らしい) を参加者にコピーして配布した」という行為は、それが紙媒体を意味するのであれば、私の知る限り行われていなかった。

2004.01.08 追記:

2004年1月4日の朝日新聞のACCS関連記事について (A.D.200X)
脆弱性報告と～の壁 (SAKURAI's site)

コーディネーション組織は、ものすごく必要とされている、と思う。

2004.01.23 追記:

2004.01.10 に UNYUN さんから A.D.2003 参加者に対して「AD2003に参加された方へのACCSの件の状況説明とお願い」というメールが送られていますね。そういうことだったのですか……。
関連だと思いますが、Shadow Penguin Security が 2004.01.18 付で「一般公開を全て休止」されています。
ASKACC に「事故調査委員会」からの「調査報告書」が 2004.01.22 付で掲載されています。ACCS はきっちりした対応と随時の情報公開をしているように見え、好感が持てます。

一方のファーストサーバ (「レンタルサーバー会社」) の動向については、ファースト鯖スレ (2ch.net) くらいでしか一般にはわからないですね。直接の顧客に対してはいろいろやっていらっしゃるようですが……。

2004.01.30 追記:

　プレゼン資料の流出が発生した模様:

国立大学研究員によりなされた個人情報漏洩問題に関する調査報告 2chにおける該当資料の流出について 2004年1月28日 (AD200X)
2004.01.10 に UNYUN さんから A.D.2003 参加者に対して送られたメール「AD2003に参加された方へのACCSの件の状況説明とお願い」で示された内容についても言及されています。
緊急のご報告（2004.1.29） (ASKACCS)
ACCSの相談者、4人の個人情報がネットに流出 (毎日)
ACCSから漏えいした個人情報データが掲示板にアップロードされる (日経 IT Pro)

2004.02.04 追記:

　不正アクセス：個人データ引き出す　京大の研究員を逮捕 (毎日)。ついに来てしまいましたね……。

河合容疑者は盗んだデータをイベントで公表していた。

データ全部、と取られかねない書かれ方だなあ……。公開したのはごく一部 (4 人分) なのだが……。だからって ok という話ではないが、しかしなあ……。

不正アクセス行為禁止法違反と威力業務妨害の容疑で逮捕した。
(中略)
同月８日に渋谷区内で開かれたイベントでこのデータを公開したうえ、情報が漏れたことをメールで協会に知らせ、サイトの閉鎖に追い込んだ疑い。

えぇっ?! 「メールで協会に知らせ」ると「威力業務妨害」の「疑い」で逮捕されるのなら、もはや誰も何も知らせたりはしなくなるでしょうね。そして欠陥だけが残り black hat の天下、と。メールの内容とか、そこに至るまでのプロセスにもよるのでしょうが、しかしなあ……。

河合容疑者は、掲示板サイトなどで一般的に使われているプログラム「ＣＧＩプログラム」の一部を書き換えて、

CGI それ自身を書き換えたわけではないのだが……。

2004.02.05 追記:

ネット界も困惑？　ACCS不正アクセス事件 (毎日)

　善意のぜい弱性の指摘が萎縮するのを問題と見るネット関係者もいる。こうしたなか、経済産業省は情報処理推進機構（IPA）に委託し、ぜい弱性対策の研究を始めた。ぜい弱性を発見したらどこに届け出て、不正アクセス禁止法に抵触せず、ぜい弱性の指摘をするにはどうしたよいのかなどについての基準作りを行うものだ。年度内にも結論が出ることが期待される。

期待しています > IPA。
「不正アクセスではない」　研究員逮捕で京都大が会見 (山形新聞：FLASH24)
著作権協サイト、別の２人も京大研究員と同手法で侵入か (asahi.com)

不正侵入の疑いが持たれている２人は、閉鎖の前にサイトに入ったとみられる。侵入経路の特定を防ぐためか、国内から、アメリカやポーランド、リトアニアにあるサーバーを経由して接続していたという

すると ASKACCSユーザーの皆様へ（2004.1.22）にある

・ASKACCSのサーバーに記録が残っていた平成１５年１０月６日以降のアクセスログを解析した結果、合計４回、外部から相談者の個人情報にアクセスされた形跡が認められた。情報提供者に確認したところ、これら４回のアクセスは、いずれも情報提供者自身によるものとの回答がなされた。なお、アクセスログの情報によれば、これらのアクセスは、いずれも同一の種類の回線、ＯＳ、ブラウザを利用したものであるため、同一人物によるアクセスの可能性が高く、情報提供者の回答に合致している。

・上記４回以外に、外部から個人情報を取得されたことを示すアクセスログは認められなかった。

は間違いだった?
不正アクセス、他にも数人が侵入か (TBS NEWSi)。

河合容疑者は、侵入の手口を東京・渋谷で行われたイベントで参加者に公表していましたが、その後、同じような手口で著作権協会のサイトが７件の不正アクセスを受けていたことがわかりました。これらのアクセスは、千葉県や静岡県からのものと、海外のサーバーを経由したものでした。
声明 officeこと、河合一穂の逮捕にあたって (ヨセフアンドレオン)

2004.02.06 追記:

利用者との協力で防げハッカー事件 (中日新聞社説 2004/2/6) (link fixed: 根津さん感謝)
情報漏えいに揺れたACCS、「モラルに沿った脆弱性指摘を」 (ITmedia)
この件が、善意による脆弱性の発見と修正という行為を萎縮させてしまうのは本来の意図とは異なると、ACCSはITmediaの取材に対して答えている。
不正アクセスで調査委員会を設置　京大センター長 (毎日)
京大を家宅捜索　不正アクセス事件で警視庁 (asahi.com)
2004-2-6-(Fri)のネタ (気になったネタのメモ（改）)
ACCS不正アクセス京大研究員逮捕事件に関するテンプレ (テンプレの人(1))
[connect24h:7037] 怪物とたたかう者は・・・

2004.02.09 追記:

新・闘わないプログラマ No.319 今更だけどこの話
不正アクセスの禁止等に関する法律の運用（罪数判断を中心に） (奥村＆田中法律事務所)

2004.02.10 追記:

ＣＧＩの欠陥突き情報引き出した京大研究員逮捕　警視庁 (IT/IP law blog)
ちなみに米国では、ほとんどの州で"unauthorized access to a computer that results in damage"を違法としており、連邦法レベルでは、18 U.S.C. Section 1030が一定のコンピュータへのaccess without authorizationを禁じている。後者では、私人のコンピュータについては、有価値物で5000ドル（1年内の合計額）を超えるvalueのものを取得する場合に限って禁じている。したがって、情報を取得しない場合には、処罰の対象とならない（18 U.S.C. Section 1030(a)(4)）。顧客情報の取得が目的とされれば処罰される可能性はあるが、単に脆弱性を指摘する目的であって情報を取得しないのであれば（私人のPCに対する場合など一定の場合に限るが）処罰されないことになる。
2004-02-04 (Wed) Free Office (deadman ― 今日死んだひと)
やまのあなたのそらとおく

2004.02.12 追記:

ITは人を幸せにするのか第19章漂流するセキュリティ(1) (Web 現代)
ACCS不正アクセス京大研究員逮捕事件のテンプレ、精力的に更新され続けています。そろそろ落ちついてきたのかな。

2004.02.13 追記:

■■コラム■■逆ギレする前に（柴沼　均） (毎日)
誰が得をするか? (とやの日記)

2004.02.24 追記:

2004.03.04 追記:

「ASKACCS」個人情報流出事件に関する訴訟の提起について（平成16年2月27日） (ASKACCS)
ACCS，同協会のサイトから個人情報を引き出した男性に損害賠償を請求 (日経 IT Pro)
ACCS、河合被告に損害賠償請求 (毎日)
ACCS、不正アクセス／情報漏えいの実行者に損害賠償を請求 (日経 BizTech)
ACCS、不正アクセス／情報漏えいの実行者に損害賠償を請求 (日経 BizTech)
ACCS、個人情報流出事件で約744万円の損害賠償請求 (ITmedia)
ACCS、同社Webサイトから個人情報を引き出した男性に損害賠償訴訟 (Internet Watch)
個人情報の流出により業務が妨害され、信用が傷つけられたとして、ACCSが500万円の損害賠償と107万1,000円の弁護士費用を求めると同時に、プレゼンテーション資料で個人情報が公開された3人がともに原告となっている。請求額は1人あたり損害賠償30万円と弁護士費用15万5,400円で、総額743万7,200円となる。
ACCSがoffice氏に約744万円の賠償を請求 (slashdot.jp)

　ACCS は、調査報告書 (ASKACCS) にある

本件の技術的な原因は、ASKACCS で採用していたCGIプログラムの脆弱性にあるが、本質的には、（1）ACCSが、当該CGIプログラムの採用にあたって、十分なセキュリティ等のチェックを行っていなかったこと、（2）必要以上に個人情報を取得したことが原因である。

をどのように受けとめた上で損害賠償訴訟を開始したのだろう。それはそれ、これはこれ、なのだろうか。

■ ハイパースレッディング対応マシンにて修正プログラムをアンインストールすると発生する問題
(Microsoft, 2004.01.06)

ntoskrnl.exe を含む修正プログラムをインストール後に、ハイパースレッディングの設定を変更した場合には、ntoskrnl.exe を含む修正プログラムのアンインストールを行なわないで下さい。

　……なんだかなあ……なんちゅう OS だ……。

2004.01.10 追記:

　池田さんから情報をいただきました (ありがとうございます)。

「ハイパースレッディング対応マシンにて修正プログラムをアンインストールすると発生する問題」についてはある程度、理由は推測できます。ハイパースレッディングの実装が、ソフトウェアから見ると、マルチプロセッサに見える以上、ハイパースレッディングを有効にした段階で、マルチプロセッサカーネルがインストールされているはずです。

で、それを念頭において、現象の文章を見ると、

ハイパースレッディングを OFF に設定した状態で、ntoskrnl.exe を含む修正プログラムをシステムにインストール後、ハイパースレッディングの設定を ON に変更し、ntoskrnl.exe を含む修正プログラムをアンインストールした場合、オペレーティングシステムが起動できなくなる現象が発生することがあります。

修正プログラムの前後で、ハイパースレッディングのON/OFFを切り替えているので、カーネルはマルチプロセッサ・シングルプロセッサで行き来していることがわかります。こいつは、本来、カーネル自体を再構築しなければ、いけないくらい大きなインパクトを与えるはずです。

おそらく、その前後で、インストールされるファイルに不整合が発生するのでしょう。多分、マルチプロセッサ構成にしなければならないところに、シングルのを持ち込んだりするのでしょう。

■ 2004.01.05

メール読みが終らない……。まだ 1 月 2 日ですよ……。
》 2003 年 10 大汚職 (トランスペアレンシー・ジャパン)。
》『ダブル・スタンダード！』──パレスチナを巡る報道 (ナブルス通信)。

　10月2日から12月25日までの間にイスラエル軍に殺されたパレスチナ人は117人。この死亡者のほとんどが一般市民で、子供が23人。負傷者は数百人にのぼる。また、468軒の家が破壊されて、何千人もの人が住む場所を失った。（数値はPCHRのレポートによる）
　(4日分の事例省略：下記記事を参照のこと)
　このように、流血の事態が継続している現実にもかかわらず、世界の主要メディアは常習的に、この期間を、「比較的落ち着いた」ないし「小康状態」の期間と表現しつづけてきた。そして、数人のイスラエル人が殺されて初めて、その時期が終わったのだ、と。
》ＪＡＳ事故：別の１機の主脚に亀裂　総点検で欠航相次ぐ (毎日)。うひゃあ……。

外部から目視はできないが、非破壊検査で亀裂があることがわかった。
》 [Snort-users-jp:00306]「日本Snortユーザ会キックオフミーティングに関する事前アンケートのお願い」。
》原発もの
- [aml 37231] 関電の来年３月のMOX契約を阻止し、プルサーマルを断念させよう（美浜の会）
- [aml 37232] 関電「報告書」は MOXの品質保証に関する国の新基準を満たしていない（美浜の会）
》 [aml 37229] 米軍作成の訓練ビデオ(テロリストの移送、裁判など)。おもしろそうだなあ。
》 [aml 37228] マイケル・ムーア「兵士の手紙」公開
》 most smurf amplifiers 255 ASNs (netscan.org)。 OCN さん、晴れて第 3 位だったのですね。第 4 位も遠くなさげ。
》 Why is proxyscan1.isomedia.com [66.114.137.17] attacking me? (isomedia.com)。ふーん。
》あけましておめでとうございます。今年もよろしくお願いいたします。

■ ツールもの
(various)

》 chkrootkit 0.43 が出たそうで。
》 [TOOL] THC-vlogger - Linux Kernel Based Keylogger
》 TOCTOU with NT System Service Hooking Bug Demo。ソースつきデモプログラムが公開されています。
》 SoftEther Beta 2 に含まれる仮想 HUB サービスに「深刻な不具合」が発見されたそうで、 HUB Beta 2 Fix 1 が登場している。2003年12月28日午後4時20分以降に配布されている「SoftEther Beta 2」パッケージではこの問題が修正されているそうだ。また

12月27日以降に配布再開されたバージョンの SoftEther のインストーラは、インストール時に、
「SoftEther をご利用いただく前に」
の全文が画面上に表示され、ユーザーが「同意します」をクリックしない限り、インストールが継続できない仕組みを取り入れています。

そうだ。配布再開前の Beta 2 を再配布しつづけている人は、2003年12月28日午後4時20分以降に配布されている版に置きかえた方がよいだろう。登さん情報ありがとうございます。
》 [Full-Disclosure] Announcing Userland Exec。

■ IE もの
(various)

　次から次へときますねぇ……。

》 Internet Explorer file downloading security alerts bypass
》 IE 5.x-6.0 allows executing arbitrary programs using showHelp()

2004.07.15 追記:

HTML ヘルプの脆弱性により、コードが実行される (840315) (MS04-023) で修正された。
》 [Full-Disclosure] Self-Executing HTML: Internet Explorer 5.5 and 6.0 Part IV

2004.01.15 追記:

PivX の Thor Larholm 氏が反論を出している: RE: Self-Executing HTML: Internet Explorer 5.5 and 6.0 Part IV。

　関連記事: IEに2種類の新たなセキュリティ・ホールが見つかる (日経 IT Pro)。日経 IT Pro 勝村氏による解説記事。

■ いろいろ
(various)

■ 追記

IEにURLを偽装できるパッチ未公開の脆弱性が発見される: 　NAI VirusScan のウィルス定義ファイル 4311 以降で、この欠陥に対応されている。

私について

セキュリティホール memo - 2004.01

■ Internet Explorer File Download Extension Spoofing (secunia.com, 2004.01.28)

■ いろいろ (various)

■ セキュリティフライデー、Windowsの新たな侵入口を発見(2004.1.30) (NetSecurity, 2004.01.30)

2004.02.03 追記:

■ InterScan VirusWall NT 3.53J: WORM_MYDOOM(WORM_MIMAIL.R)が検出されずに通過する (トレンドマイクロ, 2004.01.29)

■ tool いろいろ (various)

■ 「フォルダ」に見せかけ任意のファイルを実行――Windows XPを狙う手口に警告 (ITmedia, 2004.01.28)

■ MyDoom ねた: 亜種登場 (various)

■ Changes to CERT Advisories [INFO#04.20510] (CERT/CC, Wed, 28 Jan 2004 22:48:15 +0900)

■ eEye Upcoming Advisories (eEye)

2004.02.12 追記:

■ いろいろ (various)

■ JPCERT/CC・CERT/CC 脆弱性情報ハンドリングワークショップ (JPCERT/CC, 2004.01.28)

■ MyDoom ねた (various)

2004.01.28 追記:

■ 834489 - Microsoft plans to release a software update that modifies the default behavior of Internet Explorer for handling user information in HTTP and HTTPS URLs (Microsoft, 2004.01.28)

■ [mod_python] [ANNOUNCE] Mod_python 2.7.10 (Full-Disclosure ML, Wed, 28 Jan 2004 01:41:33 +0900)

■ symlink vul for Antivir / Linux Version 2.0.9-9 (maybe lower) (bugtraq, 13 Jan 2004 18:37:30 -0000)

■ APPLE-SA-2004-01-26 Security Update 2004-01-26 (security-announce@lists.apple.com, Tue, 27 Jan 2004 09:26:51 +0900)

2004.01.28 追記:

■ いろいろ (various)

■ [Full-Disclosure] bzip2 bombs still causes problems in antivirus-software (Full-Disclosure, Sat, 10 Jan 2004 02:37:52 +0900)

2004.02.04 追記:

2004.02.13 追記:

■ [Full-Disclosure] Lame crash in qmail-smtpd and memory overwrite according to gdb, yet still qmail much better than windows yet still qmail much better than windows (Full-Disclosure ML, )

■ NetScreen Security Advisory 58290: Communications between devices running ScreenOS 5.0 and NetScreen-Security Manager not encrypted (NetScreen, 2004.01.14)

■ [vine-users:063783] 起動時のfsck にてファイル破損及び起動不良 (vine-users ML, Thu, 08 Jan 2004 00:31:24 +0900)

■ 地震波が巨大構造物を襲う (NHK スペシャル, 2004.01.18)

2004.03.01 追記:

■ Shadow Penguin Security 閉鎖のお知らせ (SPS, 2004.01.18)

■ SecurityFocus Newsletter #227, 228 (bugtraq-jp)

■ いろいろ (various)

■ 銀行カード偽造、暗証番号割出しの謎が (TBS, 2004.01.13 (info from タレコミ))

2004.01.15 追記:

■ Windows 98 の延長サポートフェーズが 2006 年 6 月 30 日までに延長された (various)

2004.01.15 追記:

2004.01.20 追記:

2004.01.22 追記:

■ MDAC 機能のバッファオーバーランにより、コードが実行される (832483) (MS04-003) (Microsoft, 2004.01.14)

2004.01.26 追記:

■ Exchange Server 2003 の脆弱性により、権限が昇格する (832759) (MS04-002) (Microsoft, 2004.01.14)

■ CERT Advisory CA-2004-01 Multiple H.323 Message Vulnerabilities (CERT/CC, 2004.01.14)

関連:

2004.01.26 追記:

■ Helix Server / Gateway のサービス運用妨害 (DoS) 攻撃に関する脆弱性 (RealNetworks, 2004.01.12)

2004.03.02 追記:

■ 834374 - Windows Update でエラーが発生した場合のエラー番号について (Microsoft, 2003.01.09)

■ [SECURITY] INN: Buffer overflow in control message handling (bugtraq, Thu, 08 Jan 2004 11:16:38 +0900)

■ Norton AntiVirus 2003 で 2004 年 1 月 7 日付のウイルス定義ファイルを更新後、コンピュータの動作が不安定になった (Symantec, 2004/01/08)

2004.01.08 追記:

2004.01.09 追記:

■ JPCERT/CC インターネット定点観測システム Welchia/Nachi ワームの感染活動が減少していることを観測 (JPCERT/CC, 2004.01.07)

■ Linux kernel do_mremap local privilege escalation vulnerability (Full-Disclosure, Mon, 05 Jan 2004 21:30:32 +0900)

関連情報:

fix / patch:

Changelog:

■ 欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手 (slashdot.jp, 2004.01.04)

2004.01.06 追記:

2004.01.07 追記:

2004.01.08 追記:

2004.01.23 追記:

2004.01.30 追記:

2004.02.04 追記:

2004.02.05 追記:

2004.02.06 追記:

2004.02.09 追記:

2004.02.10 追記:

2004.02.12 追記:

2004.02.13 追記:

2004.02.24 追記:

2004.03.04 追記:

■ ハイパー スレッディング対応マシンにて修正プログラムをアンインストールすると発生する問題 (Microsoft, 2004.01.06)

2004.01.10 追記:

■ ツールもの (various)

■ IE もの (various)

■ いろいろ (various)

■ Internet Explorer File Download Extension Spoofing
(secunia.com, 2004.01.28)

■ いろいろ
(various)

■ セキュリティフライデー、Windowsの新たな侵入口を発見(2004.1.30)
(NetSecurity, 2004.01.30)

■ InterScan VirusWall NT 3.53J: WORM_MYDOOM(WORM_MIMAIL.R)が検出されずに通過する
(トレンドマイクロ, 2004.01.29)

■ tool いろいろ
(various)

■ 「フォルダ」に見せかけ任意のファイルを実行――Windows XPを狙う手口に警告
(ITmedia, 2004.01.28)

■ MyDoom ねた: 亜種登場
(various)

■ Changes to CERT Advisories [INFO#04.20510]
(CERT/CC, Wed, 28 Jan 2004 22:48:15 +0900)

■ eEye Upcoming Advisories
(eEye)

■ いろいろ
(various)

■ JPCERT/CC・CERT/CC 脆弱性情報ハンドリングワークショップ
(JPCERT/CC, 2004.01.28)

■ MyDoom ねた
(various)

■ 834489 - Microsoft plans to release a software update that modifies the default behavior of Internet Explorer for handling user information in HTTP and HTTPS URLs
(Microsoft, 2004.01.28)

■ [mod_python] [ANNOUNCE] Mod_python 2.7.10
(Full-Disclosure ML, Wed, 28 Jan 2004 01:41:33 +0900)

■ symlink vul for Antivir / Linux Version 2.0.9-9 (maybe lower)
(bugtraq, 13 Jan 2004 18:37:30 -0000)

■ APPLE-SA-2004-01-26 Security Update 2004-01-26
(security-announce@lists.apple.com, Tue, 27 Jan 2004 09:26:51 +0900)

■ いろいろ
(various)

■ [Full-Disclosure] bzip2 bombs still causes problems in antivirus-software
(Full-Disclosure, Sat, 10 Jan 2004 02:37:52 +0900)

■ [Full-Disclosure] Lame crash in qmail-smtpd and memory overwrite according to gdb, yet still qmail much better than windows yet still qmail much better than windows
(Full-Disclosure ML, )

■ NetScreen Security Advisory 58290: Communications between devices running ScreenOS 5.0 and NetScreen-Security Manager not encrypted
(NetScreen, 2004.01.14)

■ [vine-users:063783] 起動時のfsck にてファイル破損及び起動不良
(vine-users ML, Thu, 08 Jan 2004 00:31:24 +0900)

■ 地震波が巨大構造物を襲う
(NHK スペシャル, 2004.01.18)

■ Shadow Penguin Security 閉鎖のお知らせ
(SPS, 2004.01.18)

■ SecurityFocus Newsletter #227, 228
(bugtraq-jp)

■ いろいろ
(various)

■ 銀行カード偽造、暗証番号割出しの謎が
(TBS, 2004.01.13 (info from タレコミ))

■ Windows 98 の延長サポートフェーズが 2006 年 6 月 30 日までに延長された
(various)

■ MDAC 機能のバッファオーバーランにより、コードが実行される (832483) (MS04-003)
(Microsoft, 2004.01.14)

■ Exchange Server 2003 の脆弱性により、権限が昇格する (832759) (MS04-002)
(Microsoft, 2004.01.14)

■ CERT Advisory CA-2004-01 Multiple H.323 Message Vulnerabilities
(CERT/CC, 2004.01.14)

■ Helix Server / Gateway のサービス運用妨害 (DoS) 攻撃に関する脆弱性
(RealNetworks, 2004.01.12)

■ 834374 - Windows Update でエラーが発生した場合のエラー番号について
(Microsoft, 2003.01.09)

■ [SECURITY] INN: Buffer overflow in control message handling
(bugtraq, Thu, 08 Jan 2004 11:16:38 +0900)

■ Norton AntiVirus 2003 で 2004 年 1 月 7 日付のウイルス定義ファイルを更新後、コンピュータの動作が不安定になった
(Symantec, 2004/01/08)

■ JPCERT/CC インターネット定点観測システム Welchia/Nachi ワームの感染活動が減少していることを観測
(JPCERT/CC, 2004.01.07)

■ Linux kernel do_mremap local privilege escalation vulnerability
(Full-Disclosure, Mon, 05 Jan 2004 21:30:32 +0900)

■ 欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手
(slashdot.jp, 2004.01.04)

■ ハイパースレッディング対応マシンにて修正プログラムをアンインストールすると発生する問題
(Microsoft, 2004.01.06)

■ ツールもの
(various)

■ IE もの
(various)

■ いろいろ
(various)