セキュリティホール memo - 2003.08

Last modified: Sun Aug 18 22:37:28 2013 +0900 (JST)


2003.08.30


2003.08.27

「ウイルスチェイサー」使用時にユーザープロファイルが破損する不具合が発覚 Windows NT 4.0のNTFS環境で発生する可能性があるので注意
(窓の杜, 2003.08.26)

 正式告知: WindowsNTをご利用のユーザー様へ重要なお知らせ (viruschaser.jp)。Windows NT 4.0 + NTFS の場合にのみ問題が発生する模様。

この度、ファイルシステムがNTFSのWindowsNT4.0環境の一部のネットワークドライバとウイルスチェイサーの最新バージョン(C464V1467以上)に競合問題が発生する可能性が確認されました。

 であるなら最新でないバージョンへダウングレードすれば回避できるような気がするのだが、なぜそれを実施できないのだろう。 Windows がクラッシュする原因の半分はアンチウィルスソフトとの競合だそうなので、こういう話は珍しいわけはないと思うのだが。

 関連: ウイルス対策ソフト「ウイルスチェイサー」のバックアップソフト添付版 (INTERNET Watch)。マッチポンプのつもりはなかったのだろうが、このタイミングは……。

2003.09.02 追記:

 「ウイルスチェイサー」の競合問題を解消した最新版がリリース (窓の杜)。

Blaster ワーム対策方法 - Windows Embedded 製品
(Microsoft, ?)

 Windows NT Embedded / XP Embedded に対応した Blaster ワーム情報。

[postfix-jp:03215] osirusoft rbl
(postfix-jp , Wed, 27 Aug 2003 15:00:17 +0900)

 relays.osirusoft.com さんはおもいっきり壊れているようです。 その結果、relays.osirusoft.com を参照して spam 対策をしていた人は、 予期しない結果を得る場合が多々ある (あらゆる mail の受信を拒否してしまう、など) ようです。各地の ML において、relays.osirusoft.com を参照しているためとおぼしき受信拒否が観測されている模様です。

 対策としては、relays.osirusoft.com さんの参照を停止すればよいようです。

 関連: The Osirusoft DNSBL is quite broken[port139ml:03992] ぶらっくりすとhttp://relays.osirusoft.com/

 匿名希望さん情報ありがとうございます。

危険なクレジット・カード伝票,なぜ国内では対策されないのか
(日経 IT Pro, 2003.08.26)

 「IC カード対応と同時に、そちらについても対応を進めています」ならまだ話はわかるのだが、そういうわけでもなさそうですね。うーむ……。

認識が甘いのはカード会社ばかりではない。インターネット・プロバイダや電話会社なども,料金の明細書に,引き落とし口座番号の数字すべてを印字しているところが多い。これも,すぐさま“バッテン表示”に変えてほしいところだ。

 ねぇ > cbook24.com。「お支払い方法がクレジットカードの場合は「カード番号」が印刷されますので保管する際には十分にご注意ください」なんて表示する前に、やるべきことがあると思うのですけど。

普及の見通し立たない住基カード 住基ネットの全面活用は遠い
(日経 IT Pro, 2003.08.12)

こういった意見に対して、総務省の馬返理事官は「住基ネットのセキュリティには十分注意している。全国の地方自治体のシステム担当者や住民基本台帳の管理業務担当者などを対象としたセキュリティ説明会を開催するなどの対策も進めている」と話す。

 その結果が、たとえば 住民基本台帳カードをゲット に示された状況ですからね。総務省は、あれだけ長野県が騒いだにもかかわらず、今だに現場を理解できていないということなのでしょう。

 関連: 本格稼働の住基ネット 参加は選択制にすべきだ (毎日)。

DNS map problem in 8.12.x before 8.12.9
(sendmail.org, Tue, 26 Aug 2003 16:37:56 GMT (info from slashdot.jp))

 sendmail 8.12.0〜8.12.8 に欠陥。 FEATURE(`enhdnsbl') を利用している場合に、領域がきちんと初期化されない。 これを悪用すると、sendmail に対する DoS 攻撃が可能である他、任意のコードの実行が可能かもしれない (実際に可能かどうかは、わかっていないようだ)。 FEATURE(`enhdnsbl') を利用していない場合にはこの問題はない。

 sendmail 8.12.9 で修正されている他、patch が公開されている。

fix / patch:

2003.08.26

いろいろ (2003.08.26)
(various)

解説●プライバシー保護に関する認証サービスの違い プライバシーマークはJIS準拠,TRUSTeの基本は自己申告
(日経 IT Pro, 2003.08.19)

TRUSTeの特徴は,認証後のチェック体制と苦情処理の方法にある。TRUSTeの実施母体である日本技術者連盟は,ライセンスを提供した企業のサイトを3カ月に1回チェックしている。「疑い深い利用者の視点で,個人データの収集などが適切に行われているかどうかを判断している」(日本技術者連盟高橋氏)。

 結局は、調査者のスキルに依存する、ということなのかなあ……。

802.11a/802.11gのWEPが解析可能に
(slashdot.jp, 2003.08.25)

 Kismet や AirSnort を 802.11a/802.11g で使える模様。 いいかげん手元でも、Kismet や AirSnort で遊んでみないとだめかなあ。

 802.11PLANET Conference & Expo Japan 2003 なんてイベントもあるそうですが……。

住民基本台帳カードをゲット
(高木浩光@茨城県つくば市 の日記, 2003.08.25)

 住基ネットの第2次サービスが開始 (INTERNET Watch) だそうだが、 そこにつながっているものの一例。いやはや、これほど無造作に設置されているとは。 こんなふうに設置するような人達なら、TAP したりしても誰も気がつかないのでは。 こういう状況を、総務省用語で「万全のセキュリティ」と言うんですね。

 まあ、そんな危ない橋を渡らなくても TEMPEST すれば一発なんだろうけど……。

追記

MDAC 機能の未チェックのバッファにより、システムが侵害される (823718) (MS03-033)

「インストール時の注意」話の部分における、私の現状認識を明確化した。 青木さんの情報からも、この認識でいいように思える。 hide さん、大津さん、みねきちさん、青木さん情報ありがとうございます。

弊社製Print ServerおよびDocument Gateをお使いのお客様へ 最近のWindows^(R)の脆弱性を悪用したウイルスへの対応について
(富士ゼロックス, 2003.08.25 (info from タレコミ, Tue, 26 Aug 2003 11:41:32 +0900))

 [port139ml:03920] Re: Blaster ワームの対策ツール に追記した、富士ゼロックスの複合機の話の正式版。 山本さん情報ありがとうございます。

 問題があるとされているのは:

2003.09.02 追記:

 yutaka さんから (ありがとうございます):

うちが使っている DocuColore1250 が NT ベースの組み込み OS だが、次回の訪問時に脆弱修正を行うとあったので、問題はなかったのだが、新たなウィルスがでて NT ベースも対象になるといやだなと思い、サポートへ電話していつこのページの対応をしてくれるのか予定を聞いてみた。サポートの女性ではわからないというのでエンジニアから折り返し電話をいただいた。

そこには驚く回答が.....

「NTベースについてはまだ弊社内で修正プログラムの適用がはじまっていません。 したがっていつお客様へ適用作業に伺えるかわかりません」

という内容でした。おおまかな日程でもいいんだけどっていったらじゃぁ、9月2週までくらいとしておきましょうって感じでした。最悪なエンジニア。 実は NT ベースはまるっきり後回しになってるんじゃないのかな? だったらページにあんなことかかないでほしいなぁ〜。

2003.09.03 追記:

 富士ゼロックスからの案内文書が更新された。新たに DocuPrint CG835、Color DocuTech シリーズ用 Fiery カラーサーバー の情報が追加された。

2003.09.19 追記:

 富士ゼロックスからの案内文書が更新された: 弊社製複合機およびプリンター、Print Server、Document Gateなどをお使いのお客様へ 最近のWindowsの脆弱性およびコンピューターウイルスへの対応について 2003年9月19日。 MS03-039 も言及されている。


2003.08.25

MDAC 機能の未チェックのバッファにより、システムが侵害される (823718) (MS03-033)
(Microsoft, 2003.08.21)

 MDAC 2.5〜2.7 に欠陥。1434/udp に流されたブロードキャストパケットに対して攻撃的リプライパケットを流すと、 MDAC で buffer overflow が発生し、任意のコードの実行が可能になるようだ。

 MDAC 2.8 (Windows Server 2003 に含まれる) にはこの欠陥はない。 また MDAC 2.1 以前については状況不明。もはやメンテナンスされていない模様。

 MDAC 2.5 SP2 / SP3、MDAC 2.6 SP2、MDAC 2.7 SP なし / SP1 については修正プログラムがあるので適用すればよい。 その他 (MDAC 2.5 SP1 以前、MDAC 2.6 SP1 以前) については、 修正プログラムの存在するバージョンにまで引きあげるか、あるいは MDAC 2.8 をインストールする必要があるのだろう。 また MS03-033 修正プログラムには、先ごろ改訂され、全ての Windows で問題が発現することが明らかとなった MDAC 機能の未チェックのバッファにより、SQL Server が侵害される (Q326573) (MS02-040) 欠陥の修正も含まれている。 なお、MS03-033 修正プログラムはアンインストールできないので注意されたい。

 MDAC 関連ダウンロード (microsoft.com) によると、MDAC には実にさまざまなバージョンがあってわかりにく事この上ない。MDAC には「refresh」という文字列がついているもの (ex. MDAC 2.7 SP1 refresh) があるが、MS03-033 としては、refresh がないもの (ex. MDAC 2.7 SP1) と同等に扱うべきもののようだ。 MS03-033 修正プログラムによってインストールされるモジュールのバージョンは [MS03-033] Microsoft Data Access Components のセキュリティ アップデート に明記されているので参照されたい。

 この修正は MDAC 2.5 Service Pack 5 および MDAC 2.7 Service Pack 2 に含まれる予定だ、という。つまり:

【欠陥なし】

MDAC 2.5 SP5、MDAC 2.7 SP2、MDAC 2.8

【欠陥あり】

MDAC 2.5 SP4 以前、MDAC 2.6 全て、MDAC 2.7 SP1 以前

 欠陥あり版をインストールした場合には、MS03-033 修正プログラムを再適用する必要があることに注意されたい。たとえば、MDAC 2.6 SP2 + MS03-033 修正プログラム な環境に MDAC 2.7 SP1 refresh (Windows XP SP1 に含まれている MDAC と同等) をインストールした場合には、MS03-033 修正プログラムを再適用しなければならない。 FAQ には、MDAC のバージョン確認には KB 307255 を参照、とあるけれど、 Component Checker ともども なんだか記述が古いっぽい。 穴があるか / ないかについては、下手に目視で確認しようとしたりせず、 HFNetChk / MBSA + 最新の XML DB、 などを使った方がよいだろう。

 関連:

 なお、 多くのWindowsが影響を受ける「MDAC」の脆弱性が“緊急”で警告される 〜適切な手順で修正パッチを当てなければ、パッチを当てても無意味に (INTERNET Watch) には

「MS02-040」の修正パッチは「MS03-033」に含まれているため、「MS03-033」の修正パッチを当てれば修正されるが、パッチを当てる際に以下のような2つの問題が発生する可能性があるため、注意が必要だ。

 ・脆弱性を修正するためには「odbc32.dll」を修正済みのものに置き換えなければならないが、パッチを当てる際に何らかのアプリケーションがodbc32.dllを使用している場合は、置き換えることができない。したがって、脆弱性も修正されない。

という記述があるが、 MS03-033MS03-033 FAQKB 823718 にはそのような記述は一切存在しない。 個人的には、

という点から、「MS03-033 には MS02-040 のようなインストール時の注意は不要」 だと認識しているが、いまいちよくわからない。 Microsoft 自身による明確化を期待したい。

2003.08.26 追記:

 「インストール時の注意」話の部分における、私の現状認識を明確化した。 しかし、私の認識が誤っている可能性は存在するので注意されたい。 hide さん、大津さん、みねきちさん情報ありがとうございます。

2003.08.26 追記2:

 青木さんから (ありがとうございます):

意地悪してわざと odbc32.dll をロックした状態でパッチを当ててみました。結果は
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
にきちんと再起動時の置き換えが記述されて、再起動後は正しいファイルになっているのを確認しました。よって、

「したがって、脆弱性も修正されない。」

は、

「したがって、マシンを再起動するまでは脆弱性も修正されない。」

が正しいということになるのだと思います。

http://support.microsoft.com/default.aspx?scid=kb;ja;823718
ここにも一応、「ロックされているファイルがあった場合、インストーラにより、コンピュータを再起動するように求めるメッセージが表示されます。」と書いてあるので、再起動すれば問題ないと思います。

因みに Windows XP では必ず odbc32.dll は再起動後の置き換えになるようです。Windows 2000 に関しては私がパッチした範囲では、IIS がインストールされていると「再起動が必要」になりました。

いずれの場合もマシンを再起動すれば正しいファイルになっていることを確認してます。

 どうやら「MS03-033 には MS02-040 のようなインストール時の注意は不要」という理解でよさそうだ。

あと、MDAC と言えば MS02-065 話があると思いますが、やはり MDAC 2.5、2.6 は 2.7SP1refresh に上げた後、MS03-033 パッチというのが推奨ということになるのでしょうね。

 ですよね。もしくは、いっそ MDAC 2.8 に行ってしまってもいいのかもしれませんが、MDAC 2.8 の日本語情報が皆無なので、いま 3 つほど判断しかねます。

2003.09.03 追記:

 関連記事: MDACのセキュリティ情報には誤解を与える記述あり,適切な情報提供を (日経 IT Pro)。

 ちなみに、 Microsoft Universal Data Access (Microsoft) に 8/28 付で MDAC 2.8 の情報が掲載されている。記載された内容を読む限りでは、インストールにおける注意事項は MDAC 2.7 SP1 refresh と同様のようだ。もっとも、中身の下位互換性についてはテストが必要なのだろう。「MDAC 2.8 refresh が出るまで待つべし」という意見もあるかもしれない (出るのかなあ……)。

追記

E-MAILワーム「Sobig.F」が2次攻撃の可能性

問題のサーバを無効化できたので何も発生しなかった、ようですね。


2003.08.22

E-MAILワーム「Sobig.F」が2次攻撃の可能性
(F-Secure, 2003.08.22)

 2003.08.23 04:00 JST。セカンド・インパクトに備えよ。何もないかもしれんが。 関連:

2003.08.25 追記:

 問題のサーバを無効化できたので何も発生しなかった、ようですね。

Internet Explorer 用の累積的な修正プログラム (822925) (MS03-032)
(Microsoft, 2003.08.21)

 IE 5.01 / 5.5 / 6 に 3 つの新たな欠陥。

 また、Internet Explorer 用の累積的な修正プログラム (818529) (MS03-020) で修正されたはずの「object タグの type 属性の処理に欠陥があり、buffer overflow が発生する」欠陥が、日本語を含む特定の言語版においては直っていなかった。 これも MS03-032 で修正された。 参照: SNS Advisory No.68 Internet Explorer Object Type Buffer Overflow in Double-Byte Character Set Environment (LAC)。

 patch があるので適用すればよい。いずれも危険性の高い内容であり、早急な patch 適用が望ましい。

2003.09.09 追記:

 MS03-032 patch には副作用があることが判明。 Windows XP + ASP.NET 1.0 (.NET Framework 1.0) の環境で不具合が発生する。 Windows 2000 / Server 2003 では問題は発生しない。また Windows XP + ASP.NET 1.1 (.NET Framework 1.1) でも問題は発生しない。 詳細は 827641 - [BUG] セキュリティ修正プログラム MS03-032 をインストール後、ASP.NET で "Server Not Available" というエラーメッセージが表示される を参照。回避策も述べられている。

 また、

の場合には、patch あて + 再起動後に管理者ログオンが必要となるのだそうだ。注意されたい。

 さらに、MS03-032 patch は実は欠陥が直り切っていなかったことが判明。 米MS、とんだお粗末-重大な脆弱性用のパッチが役に立たず を参照。

2003.10.10 追記:

 MS03-040 で修正されている。

 また、MS03-032 / MS03-040 には 827667 - [IE] Q822925 または Q828750 を適用すると相対 URL を使用したスクリプトで HTTP 404 エラーが発生する 副作用があるそうだ。注意されたい。

追記

DirectX の未チェックのバッファにより、コンピュータが侵害される (819696) (MS03-030)

Windows 98 / 98 SE / Me / 2000 対応の DirectX 8.x 用修正プログラムが用意された。

Microsoft 関連 (2002.08.21)

MS02-040 欠陥は「SQL Server 7.0/2000 をインストールした環境でのみ」発現するのではなく、Windows 全般で発現することが判明。MS02-040 が更新された。

ウィルス / ワームねた
(various)


2003.08.21

ウィルス / ワームねた
(various)


2003.08.20

いろいろ
(various)

SNSポリシーに関する意見
(LAC SNS, Mon, 04 Aug 2003 01:21:21 GMT)

 夏井高人氏による、法的観点から見た、脆弱性情報公開ポリシーのあるべき姿に関する考察。

もともと不完全な存在であるソフトウェアを社会という環境の中に置くことが許されるのは、それが不完全な存在であることをユーザその他の第三者が他人に知らせたり、あるいは、他人から知らされたりすることが許容されているということを前提にしている。そうでなければ、不完全であるのに完全なものとしての代金やラインセンス料金を請求することそれ自体が、いわば一種の詐欺行為として反社会的な行為であることになる。

 高木浩光氏の反応: 家電製品と汎用コンピュータの切り分け (高木浩光@茨城県つくば市 の日記)。

 あと、免責話は オープンソースソフトウエアの利用状況調査/導入検討ガイドライン (真紀奈17歳さん) も関連かな。オープンソースと言いながら GNU / GNU GPL な話をするのが鼻につくというのもあって、まだ全部読めてないし……。


2003.08.19

Welchia / Nachi ワームねた
(various)

 Blaster (Lovsan) の亜種と分類しているベンダーと、そうではないと主張しているベンダーがあるようで。というか、Blaster (Lovsan) の亜種と分類しているのはもはやトレンドマイクロだけみたいですけど。 昨日の状況は Blaster ねた にあります。

 おねがいですから、名称を変更して頂けませんでしょうか? > トレンドマイクロ様。ややこしや〜。トレンドマイクロは 2003.09.16 付で名称を変更しました。よかったね。

 特徴:

 駆除方法: Nachi は、時計を一時的に 2004 年にしてあげれば自動的に消滅します。

 政府方面 (麗美さん、情報ありがとうございます):

 マスメディア方面: トレンドマイクロ様に引きずられて、 Blaster-D という名称を用いる方が多いようで (麗美さん、情報ありがとうございます)。 てゆーか、ほんとにタレ流しだなあ。

2003.10.03 追記:

 トレンドマイクロは 2003.09.16 付 (パターン 631 以降) で WORM_MSBLAST.D から WORM_NACHI.A へ名称を変更。あわせて WORM_MSBLAST.[EFG] から WORM_MSBLAST.[DEF] へと 1 個ずらしている。 これに対応して、この項の記述を変更した。伏谷さん情報ありがとうございます。

追記

[port139ml:03920] Re: Blaster ワームの対策ツール

富士ゼロックスの Document Gate に関する、 山本さんからの情報を追記 (ありがとうございます)。


2003.08.18

Blaster ねた
(various)

 ところどころ古い情報があるのは、いまごろになって先週の mail を読んでいたりするから。どうかごかんべんを。

[port139ml:03920] Re: Blaster ワームの対策ツール
(port139 ML, Sun, 17 Aug 2003 13:47:39 +0900)

 Windows NT Embedded 4.0 ベースの家電製品 (NEC SmartVision Pro HD40) に MS03-026 穴があるようだ、という話。 つづき: [port139ml:03921]

サポート: 既に HD40 は生産終了した機種なので脆弱性があったとしてもアップデートはないものとお考え下さい。

 それでいいと思っているのか! > NEC (思っているんだろうなあ)。 ちなみに SmartVision Pro HD40 Q and A (121ware.com) にはこの内容はありませんね。

 組込機器クラッキングについては、 たとえば A.D.200X で UNYUN さんがいろいろやっていらっしゃいますが、 相手が Windows XX Embedded とか Linux とか *BSD ならとっても楽になったりするのかな。

2003.08.19 追記:

 山本さんから (ありがとうございます)。

富士ゼロックスの複合機(カラーコピー機)に「Document Gate」というPCを流用した外部コントローラーがあります。(コンビニなんかにもおいてあります)

これのOSがNT4をベースにした特注品(Embedded 4.0かどうかは不明)で、DCOM対応のスキャナーソフト調べると、いつも「VULNERABLE」になっております。

この件に関しまして、富士ゼロックスに問い合わせた結果、以下のような回答が来ました。

------------------------------------------------------------------------
ご指摘の通り今回のMSブラストにはNT4は感染しないのですが、
今後を考えると対策を講じる必要があると考えております。
弊社でも今後の亜種に対しての対応を含め、
弊社エンジニアによるパッチ作業の実施を予定しております。
時期に関しては未定ですが、早急に実施されると聞いております。
新しい情報が入り次第ご連絡差し上げます。
------------------------------------------------------------------------

ということで、ゼロックスは、NECよりも真面目そうです。(保守入っているから、当たり前か)

2003.08.17

Blaster ねた
(various)

 KB 823980 Scanning Tool を使用して、セキュリティ修正プログラム 823980 (MS03-026) がインストールされていないホスト コンピュータを特定する方法 (MS KB) を試してみたが、なかなかいい感じだ。 しかしなあ。Blaster なんてものが登場しないとこういうものが配布されないというのはなあ。


2003.08.16

CERT Advisory CA-2003-21 GNU Project FTP Server Compromise
(CERT/CC, 2003.08.13)

 GNU プロジェクトのプライマリ FTP サーバ gnuftp.gnu.org (ftp.gnu.org / alpha.gnu.org) が 2003.03 から何者かによって root 権限を奪取されていた、という話。 このサイトに設置されていた全てのソフトウェアが改ざんされた可能性がある。 ただし GNU プロジェクト自身は、全てのソフトウェアについて、改ざんは発生していないと信じている。 正しい MD5 値を示したファイルが ftp://ftp.gnu.org/before-2003-08-01.md5sums.ascftp://alpha.gnu.org/before-2003-08-01.md5sums.asc に示されているので、local mirror などを維持している人は確認しよう。 しかし、 ftp://ftp.gnu.org/MISSING-FILES に記載されているファイルについては、まだ確認されていないのだそうだ。

 関連:

Blaster ワームまつり
(various)

 まつりの最中になつやすみだったので完全に乗り遅れてます。 中日新聞では 1 面トップが Blaster ねただったりしたので心配してましたが、 「今週の山場〜」であった 8/16 の windowsupdate.com 攻撃については、関係各者の努力もあり、ほとんど影響はなかったようです。 次の山場は 8/18 の始業時だそうで。 何らかの形で内部に到達できた Blaster が始業時に起動するのではないか、と心配されています。 patch あてましょう。

 8/12 の 04:00 AM (JST) ごろから……という理解でいいのかなあ。

状況
  • AlertCon レベル 3 (ISS)

Microsoft

遅すぎって感じもしますが、MS03-026 修正プログラムは 8/13 付で Windows 2000 SP2 に、 8/14 付で Windows NT 4.0 Workstation にも正式対応されています。 また、Microsoft 純正のスキャンツールが登場しています。

セキュリティ / アンチウィルス ベンダー

中立組織、政府組織

各種メディア

いろいろなサイト

各種 ML など

2013.08.18 追記:

 Blaster - 3654日後 (エフセキュアブログ, 2013.08.12)


2003.08.11

UNIX fixes
(various)

FreeBSD
  • FreeBSD Security Advisory FreeBSD-SA-03:09.signal

    FreeBSD に欠陥。 ptrace(2) および 'spigot' video capture device driver において、負値、あるいは正常な範囲を逸脱したシグナルが発生する可能性があり、これが発生すると panic の原因となる。 ptrace(2) は 4.2-RELEASE 以降、spigot は FreeBSD 2.0.5 以降に欠陥が存在する。ただし spigot デバイスドライバはデフォルトおよび GENERIC コンフィギュレーションでは有効ではない。 また FreeBSD 5.x においては、カーネルオプション INVARIANTS が有効な場合にはこの問題は発生しない。

    RELENG_4_3 以降に fix が含まれたので、最新の source にしてから kernel を再構築しインストール、再起動すればよい。

  • FreeBSD Security Advisory FreeBSD-SA-03:10.ibcs2

    FreeBSD の Intel Binary Compatibility Specification 2 (iBCS2) バイナリ対応機能に欠陥。 iBCS2 対応機能が有効な場合に iBCS2 版の statfs(2) を長大なパラメータで呼び出すと、 広大な kernel メモリが返ってくる。 これにはさまざまなセンシティブ情報が含まれている可能性があるため、 センシティブ情報を利用した権限上昇などが可能になる可能性がある。 iBCS2 対応機能はデフォルトでは有効ではないが、 kernel loadable module (ibcs2.ko) もあるので注意されたい。

    RELENG_3 および RELENG_4_3 以降に fix が含まれたので、最新の source にしてから kernel を再構築しインストール、再起動すればよい。

Debian GNU/Linux
Red Hat Linux

2003.08.10

経路のセキュリティと同時にセキュアなセッション管理を - SSL/TLS でクッキーを使うときは secure 属性を付けるのを基本とする -
(IPA, 2003.08.08)

 Cookie盗聴によるWebアプリケーションハイジャックの危険性とその対策 の話。

方法 B: 2つのクッキーを使い分ける
(中略)
このとき、暗号化で保護が必要な画面(https://...を使うことにした画面)に対して、https://...でアクセスされても情報を表示しないようにサイトを作る必要があります。そうしないと、攻撃者は、盗聴で盗み出した https://... 用のsecure属性付きのクッキーを使って重要情報にアクセスできてしまうからです。

 何か変じゃないですか? > IPA ISEC。 https:// を使うことにした画面に https:// でアクセスしたら情報を出さない、というのは……。

2003.08.11 追記:

 直ったようです。おつかれさまです > IPA ISEC の中の人。

UNIX fixes
(various)

Red Hat Linux
NetBSD

いろいろ
(various)


2003.08.08

いろいろ
(various)

 いろいろ。

@Sam's room at fleur d'interdit
(けんのぼやき, 2003.08.07)

 雑学アドバイザリの「時系列に追っかけてみよう・・・」がなかなか興味深いです。


2003.08.07


2003.08.06

住基ネット公開討論会ねた
(various)

 ところで、誰も話題にしていないようですが、「Windows NT を使っている」という部分は、今後どうなる (というか、総務省はどうするつもり) なんでしょう。 つくりなおすならいい機会だと思うんですけどね。

 関連: 東京工業大学 フロンティア創造共同研究センター 大山永昭教授 「住民基本台帳カードに関する諸動向 〜施策の狙いと普及に向けた課題〜」 (日立)。自画自賛ですか……。

追記

[VulnWatch] Postfix 1.1.12 remote DoS / Postfix 1.1.11 bounce scanning

Red Hat fix 追記。

FreeBSD Security Advisory FreeBSD-SA-03:08.realpath

FreeBSD / NetBSD / OpenBSD 情報、lukemftpd の情報を追記。

wu-ftpd fb_realpath() off-by-one bug

Turbolinux fix を追記。


2003.08.05

検索エンジンリリースノート VSAPI 6.640
(トレンドマイクロ, 2003.08.05)

2. Windows 2000 Server+Citrix MetaFrameサーバ環境で、フロッピーディスク上からウイルス発見時にブルースクリーンエラーとなる問題を修正
(中略)
14. OfficeScan 5.5、パターン、エンジンアップデート時、ブルーバック問題の発生率を減少するために、フィルターを修正

 先日の JWNTUG Open Talk in MSC 大阪で、小野寺さんが「Windows のブルースクリーンの半分は、アンチウィルスソフトとの不整合」だとおっしゃっていらっしゃったのを思い出した。API の整備が必要になる所以ですね。


2003.08.04

[VulnWatch] Postfix 1.1.12 remote DoS / Postfix 1.1.11 bounce scanning
(Full-Disclosure ML, Mon, 04 Aug 2003 04:12:34 +0900)

 postfix に 2 種類の欠陥。

 解決方法としては、postfix 2.x に移行するか、postfix 1.1.13 に移行するか、付属の patch を適用するか、あるいは 指摘文書 に添付されている回避手段を採用する。postfix 1.1.13 は、ミラーサイトにはまだなかったりもするようだ。1.1.12 と 1.1.13 の diff を取ってみた: postfix-1.1.12-1.1.13.diff

fix / patch:

2003.08.07 追記:

 [RHSA-2003:251-01] New postfix packages fix security issues. を fix / patch に追記。

追記

wu-ftpd fb_realpath() off-by-one bug

関連情報を追記。

Windows RPCプロセスの脆弱性悪用コードが公に

ワームはまだない、 と言っている間にワームが出てきたようで。

FreeBSD Security Advisory FreeBSD-SA-03:08.realpath
(FreeBSD-security ML, Mon, 04 Aug 2003 09:04:31 +0900)

 FreeBSD の realpath(3) に wu-ftpd fb_realpath() off-by-one bug と同様の off-by-one バグがある。というか、wu-ftpd に付属しているものは FreeBSD 3.0 由来のコードだ。 lukemftpd(8) や sftp-server(8) をはじめとする、 realpath(3) を使っているコマンドに影響がある。 FreeBSD Security Advisory FreeBSD-SA-03:08.realpath に realpath(3) を使っている packages/ports の一覧がある。

 RELENG_3、RELENG_4_3〜RELENG_4_8、RELENG_5_0 において修正されている。 cvsup 等を用いて最新のソースにした後に、OS を再構築する。 FreeBSD ハンドブックの 19.4. make world の利用 を参照。 また 5.1-RELEASE (RELENG_5_1) にはこの問題はない。

2003.08.06 追記:

 NetBSD / OpenBSD にも同様の問題がある。patch があるので適用しよう。

 lukemftpd は '-r' オプションを使っていない場合に root を取れるそうだ:

 これにあわせて FreeBSD SA が改訂されている:


2003.08.01

Drivial Pursuit: Internet Explorer Browser & Your Files and Folders !
(bugtraq, Thu, 24 Jul 2003 05:17:39 +0900)

 PivX な人は I can positively confirm this vulnerability on both WMP 7 and 8 on Windows 98, ME, 2000, XP and 2003 だそうなのだが、手元では再現できない……。 .asf ファイルに何か仕込んであるんですかねえ。 いずれにせよ、Windows Media Player 9 な環境では問題ないのだそうだ。

 螺旋さんという方からもこれの情報を頂いたのだが、螺旋さんのところでは再現できているのだろうか……。

iDEFENSE Security Advisory 07.29.03: Buffer Overflow in Sun Solaris Runtime Linker
(bugtraq, Wed, 30 Jul 2003 00:57:30 +0900)

 Solaris 2.6〜9 (sparc/x86) の ld.so.1 に欠陥。LD_PRELOAD 環境変数に長大な文字列を設定すると buffer overflow が発生するため、 SUID root なコマンドを利用するなどして、local user が root 権限を奪取可能。 具体例として、/usr/bin/passwd を利用した攻撃に成功したという。 patch があるので適用すればよい。

 CVE: CAN-2003-0609

 発見者による情報: [Full-Disclosure] Solaris ld.so.1 buffer overflow

Oracle ねた 3 つ
(various)

Buffer Overflows in EXTPROC of Oracle Database Server (Oracle)

日本語版: #57: EXTPROC実行モジュールの潜在的なセキュリティの脆弱性対抗策 (oracle.co.jp)

関連: Oracle Extproc Buffer Overflow (#NISR25072003)

NGSSoftware alerted Oracle to this vulnerability on 30th September 2002.

泣けますね……。

Buffer Overflow Vulnerability in Oracle E-Business Suite (Oracle)

日本語版: #56: E-BUSINESS SUITE の潜在的なバッファ・オーバーフロー・セキュリティの脆弱性対抗策 (oracle.co.jp)

関連: Integrigy Security Alert - Oracle E-Business Suite FNDWRR Buffer Overflow

Unauthorized Disclosure of Information in Oracle E-Business Suite (Oracle)

日本語版: #55: EBSの一部のjspファイルの潜在的なセキュリティの脆弱性 (EBS11i 11.5.1 - 11.5.8)対抗策 (oracle.co.jp)

関連: Oracle E-Business Suite AOL/J Setup Test Information Disclosure

 #56 と #57 は特にヤバそうですね。patch があるそうなので、適用しましょう。

 Oracle の日本語セキュリティページって新しくなっていたんですね。日本語でも通報できるみたい:

製品等における脆弱性が発見された場合、日本オラクルとサポート契約をお持ちのお客様はOiSCにログインしTARを使ってご連絡をお願いします。それ以外の場合は詳細情報をSECALERT_JP@oracle.com 宛にご連絡ください。

Remote Linux Kernel < 2.4.21 DoS in XDR routine.
(bugtraq, Wed, 30 Jul 2003 04:55:34 +0900)

 Linux 2.4.20 以前に欠陥。 NFSv3 プロシージャコールの XDR データ処理部に int と unsigned int を混同する個所があるため、remote から DoS 攻撃が可能。 Linux 2.4.21 で修正されている。

 CVE: CAN-2003-0619

fix / patch:

Security Alert: Local User on Linux Host Can Gain Escalated Privileges
(bugtraq, Thu, 24 Jul 2003 07:09:52 +0900)

 Linux 用の VMware GSX Server 2.5.1 以前、Linux 用の VMware Workstation 4.0 以前および VMware ESX Server 1.5.2 patch 3 以前に欠陥。 環境変数の処理に何らかの欠陥があり、仮想マシンの起動時に (ということは local user が、だろう) root 権限を持つシェルなどを起動可能。

 GSX Server 2.5.1 patch 1、VMware Workstation 4.0.1、ESX Server 1.5.2 patch 4 で修正されている。

KDE Security Advisory: Konqueror Referer Leaking Website Authentication Credentials
(bugtraq, Tue, 29 Jul 2003 18:40:44 +0900)

 KDE 3.1.2 以前に含まれる Konqueror (web ブラウザ) に欠陥。 http://user:password@host/ 形式で接続すると、その認証データを Referer の形で他のサイトに送ってしまう。

 KDE 3.1.3 で修正されている他、KDE 2.2.2 / KDE 3.0.5b に適用できる patch が ftp://ftp.kde.org/pub/kde/security_patches に用意されている。

 CVE: CAN-2003-0459

fix / patch:

追記

Windows RPCプロセスの脆弱性悪用コードが公に

やばすぎるコードの話のつづき、CERT Advisory。

MS03-026 - are you patched? Windows Update isn't sure!

UpdateEXPERT 5.1 日本語版の情報を追記。UpdateEXPERT 5.1 日本語版ではファイルバージョンもチェックしているそうです。 能祖さん情報ありがとうございます。

wu-ftpd fb_realpath() off-by-one bug
(bugtraq, Fri, 01 Aug 2003 01:16:03 +0900)

 wu-ftpd 2.5.0〜2.6.2 に欠陥。fb_realpath() 関数に off-by-one バグがあるため、 STOR RETR APPE DELE MKD RMD STOU RNTO コマンドで buffer overflow が発生する。 この結果、remote から root 権限を奪取できる場合がある。

 CVE: CAN-2003-0466

fix / patch:

2003.08.04 追記:

 関連:

2003.08.06 追記:

 Turbolinux Security Advisory TLSA-2003-46: wu-ftpd を fix / patch に追記。


[セキュリティホール memo]
私について