セキュリティホール memo - 2003.11

Multiple integer overflows in XFree86 (local/remote)

[RHSA-2003:286-01] Updated XFree86 packages provide security and bug fixes (7.1, 7.2)
[RHSA-2003:287-01] Updated XFree86 packages provide security and bug fixes (7.3, 8.0)

[KDE SECURITY ADVISORY] KDM vulnerabilities

[RHSA-2003:286-01] Updated XFree86 packages provide security and bug fixes (7.1, 7.2)
[RHSA-2003:287-01] Updated XFree86 packages provide security and bug fixes (7.3, 8.0)
[RHSA-2003:288-01] Updated XFree86 packages provide security and bug fixes (9)

• 》 GNU screen buffer overflow。 screen 4.0.1 / 3.9.15 以前に buffer overflow する欠陥がある模様。 patch が添付されている。

• 》 [Full-Disclosure] [OpenCA Advisory] Vulnerabilities in signature verification。 OpenCA < 0.9.1.4 に複数の問題があり、0.9.1.4 で fix された模様。

• 》 GnuPG 1.0.2以降のElGamal鍵署名で秘密鍵が漏洩 (slashdot.jp)。 ElGamal できなくする patch: GnuPG's ElGamal signing keys compromised。

  fix / patch:

  • Turbolinux: Turbolinux Security Advisory TLSA-2003-68
  • Vine Linux: [ 2003,12,05 ] gnupg にセキュリティホール
  • Fedora Core 1: [SECURITY] Fedora Core 1 Update: gnupg-1.2.3-2
  • Red Hat Linux: [RHSA-2003:390-01] Updated gnupg packages disable ElGamal keys
  • FreeBSD: ports/security/gnupg。1.2.3_4 で fix されている模様。

• 》 [Full-Disclosure] FreeRADIUS 0.9.2 "Tunnel-Password" attribute handling vulnerability。 DoS 攻撃を受けるのは確実で、任意のコードの実行が可能なのかもしれないそうだ。

• 》 [Full-Disclosure] FreeRADIUS <= 0.9.3 rlm_smb module stack overflow vulnerability。 デフォルトでは rlm_smb はつくられないそうです。

• 》 Sun ねた

  • 57221 - A Vulnerability in JRE May Allow an Untrusted Applet to Escalate Privileges 。 SDK / JRE 1.4.1_04 / 1.3.1_09 / 1.2.2_016 で fix されているそうだ。 また SDK / JRE 1.4.2 にはこの欠陥はないそうだ。

  • 54042 - Kerberos 5 Vulnerability in Principal Name Handling Buffer Overflows/Underflows Affecting Solaris and SEAM(5)

  • 57418 - Sun One Web Server Log Analyzer Vulnerability。 Sun ONE/iPlanet Web Server 6.0 SP6 以降 / 4.1 SP13 以降で fix されているそうだ。

  • 57414 - uffer Overflow Vulnerability in the CDE DtHelp Library May Allow Unauthorized "root" Access。 T-patch というのが出てます。

• 》 two localhost panics。 OpenBSD fix が 2 件。

• 》 Linux Kernel <= 2.4.21 MXCSR Local DOS Exploitation。ついていけない……。

• 》 R7-0016: Sybase ASE 12.5 Remote Password Array Denial of Service。 Sybase ASE 12.5 ESD#2 以降で fix されているそうです。

• 》 SAP ねた

  • [VulnWatch] SAP DB priv. escalation/remote code execution
  • [VulnWatch] SAP DB web-tools multiple issues

• 》 HP-UX ねた

  • [VulnWatch] NSFOCUS SA2003-08: HP-UX libc NLSPATH Environment Variable Privilege Elevation Vulnerability
  • [VulnWatch] NSFOCUS SA2003-07: HP-UX Software Distributor Buffer Overflow Vulnerability
  • HPUX dtmailpr buffer overflow vulnerability

• 》 CAN-2003-0901: PostgreSQL buffer overflow (7.2.x, 7.3.x < 7.3.4)

  • [SECURITY] [DSA 397-1] New PostgreSQL packages fix buffer overflow
  • [RHSA-2003:313-01] Updated PostgreSQL packages fix buffer overflow
  • Turbolinux Security Advisory TLSA-2003-62 (link fixed: らむじぃさん感謝)

　Microsoft Exchangeに重大なバグ--メールアカウントが公開される危険性 (CNET) として話題になった件。

• Microsoft Exchangeに重大なバグ--メールアカウントが公開される危険性 (CNET)
• SharePointインストールによりExchangeの安全性に問題 (ZDNet)

　Exchange 2003 および Windows Server 2003 に SharePoint Services 2.0 をインストールすると、IIS での Kerberos 認証が無効になってしまい、問題が発生していた模様。 from 832769 - [HOWTO] Kerberos 認証を使用するように Windows SharePoint Services を構成する方法:

Microsoft インターネットインフォメーションサービス (IIS) の仮想サーバーが Windows SharePoint Services で拡張されると、仮想サーバーは統合 Windows 認証 (旧称、NTLM または Windows NT チャレンジ/レスポンス認証) を使用するように構成されます。

　一旦変更されると、SharePoint Services 2.0 をアンインストールしても元には戻らない。明示的に設定し直す必要がある。方法は 832769 - [HOWTO] Kerberos 認証を使用するように Windows SharePoint Services を構成する方法 参照。

　また、832749 - Microsoft Exchange Server 2003 フロントエンドサーバーで HTTP 接続の再使用を無効にする方法を実行するのも有効なようだ。

　黒トトロさんによる、とある「有名な住宅開発企業」の「ホームセキュリティ」システムがすごい、というか、すさまじい、という話。Naked Windows XP Embedded、って感じなんでしょうか。つづき:

• ぴ〜〜〜〜 (2003.11.20)
• 例の企業へ (2003.11.22)
• 優秀な人がいますので　その３ (2003.11.25)
• ホームセキュリティからメール (2003.11.26)

　しかしこのベンダー、ほんとうにだいじょうぶなんでしょうか。good luck.

　PS. インターネットウォッチが要因？。でしょうね。私もそこで見つけましたし。

　IE 5.01 / 5.5 / 6 にいくつもの重大な欠陥。 IE 6 SP1 + 最新 patch (MS03-048) でも再現可能だそうだ。

• MHTML Redirection Leads to Downloading EXE and Executing
  mhtml: URL を使ったリダイレクト機能に欠陥があるため、 攻撃者は local computer 上のファイルを読み込んだり、.exe ファイルを自動的にダウンロードさせ、実行させることが可能。

  利用例: New "Clean" IE Remote Compromise。 デモコードを試すと、NAI VirusScan に「Exploit-CodeBase」だと言われた。 クリーンな Windows XP SP1 + hotfix 環境ではデモに成功した。 Qwik-Fix (最新は 0.57) を入れてあるとうまく動かないみたい。

• BackToFramedJpu - a successor of BackToJpu attack
  クロスドメインセキュリティが守られないため、攻撃者が my computer 権限でスクリプトを実行させることが可能。

  デモコードを試すと、NAI VirusScan に「JS/Exploit-WhoFramed」だと言われた。

  CVE: CAN-2003-1026

• HijackClickV2 - a successor of HijackClick attack
  攻撃者がクリック動作を奪い取り、いくつかの動作を自動的に実行させることが可能。 MS03-048 で修正された欠陥の亜種だそうだ。

  CVE: CAN-2003-1027

• Invalid ContentType may disclose cache directory
  IE のダウンロード機能に欠陥があり、簡単に探知されないよう無作為に設定されているキャッシュディレクトリのパス名を知ることができてしまう。 これを利用することで、攻撃者は my computer 権限でスクリプトを実行させることが可能。表示されるダイアログで「保存」を選択すれば回避はできる、と理解していいのかなあ。

  利用例:

  • Cache Disclosure Leads to MYCOMPUTER Zone and Remote Compromise

  • IE Remote Compromise by Getting Cache Location
    デモコードを試すと、NAI VirusScan に「JS/Exploit-FileProxy」だと言われた。

  関連: Note for "Invalid ContentType may disclose cache directory"

　いずれについても、アクティブスクリプトを無効にすれば回避できる。 インターネットゾーンのアクティブスクリプトは当面「無効」に設定しておこう。 ちなみに、Unpatched Internet Explorer Bugs は 19 になってますね。

　関連記事: Internet Explorerの新セキュリティホールは「極めて危険」 (ZDNet)。

2003.12.09 追記:

　2003.12 の Windows hotfix は用意されない: No Security Bulletins for December Monthly Release (Microsoft)。いつ fix されるのかは全く不明。

2004.02.12 追記:

　BackToFramedJpu と HijackClickV2 は Internet Explorer 用の累積的なセキュリティ修正プログラム (832894) (MS04-004) で修正された。

　興味深いです。

民事訴訟法の条文では「署名・捺印があれば正しい文書だとされ、デジタルデータの場合にはデジタル署名があれば、同じ扱いになる」とのことで、「紙ベースとデータの文書は法律の上で扱いに違いがなくなっている」と語った。

　「デジタル署名」は「捺印」のかわりであって「署名」のかわりじゃないんですけどね……。それだけだと「俺じゃない!! 機械がやったんだ!!」系で負けかねない気が。 [port139ml:04498] にもありますが、どこかでオフライン署名をしておくと確実なのでしょう。

同氏は、「物理的に残す紙ベースでの整理・保管といった“ファイリング”の考え方ではなく、データにおいては入手、作成から活用、保管、保存、管理までの一連の文書の流れを管理する“レコードマネジメント”の視点が必要になっている」と述べ、文書管理における企業の責任と、情報管理部門の必要性を語った。

　電子データって形を変えて生きつづけることがあまりに容易だから、マネジメントし切れない、ことを前提としたリスクマネジメントをしナイトだめだと思うんですよね……。 DRM もの は第一歩なのでしょうが、それだけで済む話ではないだろうし……。

　ほうら、やっぱり MS03-051 が見逃されてるし。 トラブル・メンテナンス速報 と 緊急レベルのセキュリティ修正プログラムについて の内容は同期させなくちゃ。後者でだけ MS03-051 が警告されているんですよね。

　緊急レベルのセキュリティ修正プログラムについて は、「今一番危険なセキュリティホールは?」をページ先頭に移動させた方がよいのではないだろうか。alt 属性も設定してほしいし。画像はもうちょっと小さくてもいいんじゃないかなあ。

　BIND 8.4.3 登場。BIND 8.3.7 も出てます。

Highlights (8.4.2)
	Security Fix: Negative Cache Poison Fix.

だそうです。対応する CHANGELOG はこれでしょうか:

1581.   [bug]           apply anti-cache poison techniques to negative
                        answers.

　関連:

• Vulnerability Note VU#734644: ISC BIND 8 vulnerable to cache poisoning via negative responses

• CVE: CAN-2003-0914

　bind 9 な人には関係ない、と理解してよいのかな。

• FreeBSD: FreeBSD-SA-03:19.bind - bind8 negative cache poison attack
  邦訳版
• NetBSD: NetBSD Security Advisory 2003-018
• Sun Solaris: 57434 - Remote Denial-Of-Service Vulnerability in BIND DNS Daemon (in.named)。現状では警告のみ。
• Vine Linux: [ 2003,12,03 ] bind にセキュリティホール

2003.12.04

Vine Linux: [ 2003,12,03 ] bind にセキュリティホール。

2003.12.17

NetBSD: NetBSD Security Advisory 2003-018。

　Opera ねたのつづきの話。 Opera 7.22 以前に 2 つの欠陥。

• スキンファイルのファイル名として http://server/..%5c..%5c..%5c..%5c..%5c..%5c..%5..%5c..%5ccskin.zip のように指定することにより、悪意ある web サーバ管理者は zip ファイルを既知の任意のフォルダに設置させることが可能。

• zip ファイルの処理において buffer overflow する欠陥があり、悪意ある web サーバ管理者はスキンファイルを利用して任意のコードを実行させることが可能。

　opera 7.23 で fix されている (Changelog)。opera 7.23 の日本語版はまだないが、手元で試した限りでは、opera 7.22 日本語版に付属する日本語リソースファイル (って言うんですか?) はそのまま英語版 7.23 でも利用できた。

　exploit とされているもの: Opera 7.22 File Creation and Execution Exploit (Malicious Webserver)

　関連:

• [Opera 7] Arbitrary File Auto-Saved Vulnerability.

• Opera 7シリーズに任意のファイルが作成できる脆弱性 (INTERNET Watch)

　こんなページがあったとは。とりあえず、Mozilla 1.4 以前の人は速やかに Moziila 1.5 に upgrade しませう。ってお前だよ > 俺。

　英語オリジナル: Known Vulnerabilities in Mozilla (mozilla.org)。

　Apache 1.3.29 および Apache 2.0.48 で

• mod_usertrack を利用しており、かつ
• デフォルトの CookieName を利用している (明示的に CookieName を指定していない)

場合に、Apache がクラッシュしてしまう模様。 回避方法としては、CookieName Apache のように、明示的に CookieName を設定すればよい。 Bug 24483 には Apache 2.0.48 用の patch も示されている。

　セキュリティ hotfix の強烈な副作用の数々の解説。 郵便番号変換ウィザードについては、[memo:6662] MS03-050と郵便番号変換ウィザード 以下のスレッドも参照。

　補助記憶装置さえ確実に破壊できればいいわけで。スキルの低い人から漏曳することを考えると、下手にソフトものを使うよりは、 ハードディスク・クラッシャー (NEC フィールディング) のような「スイッチ一発」ものがいいですかねえ。やっぱり手元にも揃える必要があるかなあ。 PC 本体をそのままクラッシャーに設置できると作業的にはもっと楽なんだろうけど、50 万どころじゃなくなるよなあきっと……。

　QTFairUse - QuickTime AAC memory dumper (nanocrew.net) を使うと、RAW AAC という形式のファイルが取り出せるのだそうです。 で、RAW AAC からいろんなものに変換できるらしいです (info from slashdot.jp 440216)。 QTFairUse のコンパイルには MinGW と MSYS が必要なのだそうです。

　関連: iTunesのコピー防止技術を破るプログラムが登場 (ZDNet)

　832270 - スクロールバーの空白部分をクリックすると画面スクロールが正しく行われない につづく、 MS03-048 の副作用の話。

　怒涛の書き込み……

• CSS 2003報告 (2003.11.24)
• ポイントカードは何を記録しているのか (2003.11.24)
• やっぱりIPv6推進屋はプライバシーを蔑ろにしているとしか思えない (2003.11.24)
• 家畜の餌を人に食わせるような話 (2003.11.24)
• 警視庁は東京都にも要請したほうがよいのでは？ (2003.11.23)
• ゲームソフト初のセキュリティホール？ (2003.11.23)

　ポイントカードの場合は、「そもそもポイントカードなんて使わない」「記録してほしくないモノを買うときはポイントカードを使わない」という選択ができるだろう。でも「そこらじゅうに RFID が埋め込まれている世界」でそのような選択が可能になるのか? というと、それは疑問だろうなあ、と思う。

　それにしても、goo って……。

NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL

fix / patch: に Mac OS X、Hitachi Web Server、Opera の情報を追記。

ACCS運営ホームページのセキュリティ問題について（2003/11/11）

• Tea Room for Conference に「ACCSのユーザ様、ファーストサーバー森川氏作のcgiをご利用になり情報を入力された全てのユーザ様への謝罪」という文書が掲載されている。

• ファースト鯖 144- (2ch.net)。 特に 152-154 は興味深い。

Mac OS X 10.3 ねた

FireWire 800対応ディスクドライブをお使いの皆さまへ、重要なお知らせ が更新されています……が、3rd party link はぜんぜんないなあ。 やまざきさん情報ありがとうございます。 (遅くてすいません)

[Full-Disclosure] Mod_gzip Debug Mode Vulnerabilities

exploit: remote exploit for mod_gzip (with debug_mode)。

Workstation サービスのバッファオーバーランにより、コードが実行される (828749) (MS03-049)

追記:

• ms03-049 sp1a and sp0 now working.
• セキュリティ・ホールを突くコードが既に出現，4件目の“超特大”を解説する (日経 IT Pro)
• Nessus plugin ID 11921

Microsoft FrontPage Server Extensions のバッファオーバーランにより、コードが実行される (813360) (MS03-051)

記述・構成を大幅に変更。Visual InterDev RAD Remote Deployment Support について へのリンクを追加。

　Debian Project で使われている機械

• master (バグ追跡システム)
• murphy (メーリングリスト)
• gluck (web, cvs)
• klecker (セキュリティ, non-us, web 検索, www-master)

が、この 24 時間以内にヤラレた模様。いくつかのサービスは、停止したり別の機械に移されたりしているそうだ。

　すでに mirror されている、アナウンス直前の Debian GNU/Linux 3.0 (woody), release 3.0r2 は、このヤラレには影響されていないことが確認されているそうだ。

　……と書いている間に日本語アナウンスが: [debian-announce:00040] 複数の Debian Project マシンへのセキュリティ侵害 (compromise) について (debian.or.jp)。 In particular は「特に」じゃなくて「具体的には」なんじゃないかなあ。じゃないと、「ほかのマシンに移動しています」との整合性が取れないだろうし。

　張さん情報ありがとうございます。

　関連: Debianサーバ攻撃--未知の脆弱性を突かれたか？ (CNET)。続報に要注目、の模様。

　欠陥詳細: Linux kernel do_brk() lacks argument bound checking。

　ヤラレ状況詳細: Debian Investigation Report after Server Compromises。

　tools:

• RISwhois - IPv4/IPv6 Address to Origin Mapping (ripe.net)。興味深いですね。

• [Full-Disclosure] New version of ike-scan (IPsec IKE scanner) available - v1.5.1

• Osiris 2.1.0
  使い方は整合性チェックツール Osiris を使う (ヽＲノ日記) を参照。やっぱりヽＲノ日記ですね。

• [TOOL] DJohn - Distributed John。うーむ……。

　documents:

• SOAP Web Services Attack White Paper

• セキュアOSに関する調査研究会 (総務省)。なかなか香ばしい議論が行われているようで……。

• IIS Answers - Support Central for IIS

• www.IISFAQ.com

　IIS 6.0 Resource Kit と IIS 6.0 Resource Kit Tools ですか……。 IIS 6 自体、まだまともにいじってないからなあ。

　ちゃんと Mac OS 10.2.8 と Mac OS 10.3 用が揃った、あたらしい fix の登場です。 とりあえず apple はやくそくを守っているようで、それは偉いのですが、 [harden-mac:0548] によると、明記されていない safari の更新が含まれているそうです。 undocumented な変更、は困りますねえ。

Multiple integer overflows in XFree86 (local/remote)

Red Hat, Debian fix 追記。CVE: CAN-2003-0730。

Opera ねた

実は opera 7.22 では直り切っていない模様: ペンギンもオペラを嘆く (::operash::)。

再掲：SafariにCookieが漏洩する脆弱性

CookieMonsterFix (hetima.com) 1.0.1 が登場しました。Mac OS X 10.2.x (safari 1.0) にも対応されているそうです。

　safari 1.0 / 1.1 に、Netscape 6.2 以前 / Mozilla 0.9.6 以前と同様の、cookie が漏曳する問題があるのだそうです。Mac OS X 10.3 (safari 1.1) では CookieMonsterFix (hetima.com) を利用して回避できるそうですが、Mac OS X 10.2.x (safari 1.0) ではうまく動かないそうです。現在対応作業中だそうです。 それまでは、Mac OS X 10.2.x では、Mozilla 1.5 などを利用した方がよいのでしょう。

2003.11.20 追記:

　CookieMonsterFix (hetima.com) 1.0.1 が登場しました。Mac OS X 10.2.x (safari 1.0) にも対応されているそうです。

　関連: 『再掲：SafariにCookieが漏洩する脆弱性』と同様の脆弱性を持つであろう、WebKitを使用しているアプリケーションに関しての一時的まとめ (リンクとか備忘録とか日記とか＠はてな％暫定公開中＆練習中)

2003.12.09 追記:

　official fix 登場:

• APPLE-SA-2003-12-05 Security Update 2003-12-05
• [harden-mac:0575] [security-announce] APPLE-SA-2003-12-05 Security Update 2003-12-05

　Safari ではなく、もっとおおもとである Foundation.framework が修正されたようです [harden-mac:0572] [harden-mac:0573]。

パソコンのメールマガジンの配信を希望された平成14年10月17日現在の会員の方々の個人情報が流出し、その数は18万2780名が最大であるものと判断いたしました。

　この結論に至った理由が詳細に記載されていて興味深い。残念ながら流出経路までは特定できておらず、法執行機関による調査待ちの模様。

ACCS運営ホームページのセキュリティ問題について（2003/11/11）

匿名希望さんから情報をいただいた (ありがとうございます)。

ACCS運営ホームページのセキュリティ問題について（2003/11/11）

Tea Room for Conference No.1613-1。うーむ。

Norton Internet Security 2003 XSS

オフィシャル: Symantec Network Internet Security (NIS) のサイト遮断通知メッセージが正しくチェックされない (シマンテック)。まだ fix されていない模様。

　OpenBSD 3.4 以前に欠陥。ibcs2 コードに stack overflow する欠陥がある。 これを利用すると、OpenBSD 3.3 以前では local user が root 権限を奪取できる? exploit: [1] [2]。 OpenBSD 3.4 では DoS になるようだ。

　patch:

• OPENBSD_3_4
• OPENBSD_3_3

　最近精力的に活動されている Liu Die Yu 氏による、まだ patch がない IE 穴のまとめ。 MS03-048 を適用しても、まだ 11 個ある模様。

　「ハイテク犯罪に対処するための刑事法の整備に関する諮問」 (法務省) に対する、日弁連の意見書。

　必要なことは全て書かれていると思いますし、周辺の法律の解説書としてもよくできているように思います。趣旨だけ読んでもあまりおもしろくないので、ぜひ全文を読みましょう。

　で、諮問 (法務省) のあと答申 (法務省) が 2003.09.10 に出てますが、

• 「記録命令差押え」が「記録命令付き差押え」に変わった
• 第七の一に「ただし、差押え又は記録命令付き差押えをする必要がないと認めるに至ったときは、当該保全要請を取り消さなければならないものとすること。」が追加された

程度、のように見えます。なんじゃこりゃ……。

　ちなみに、答申の「第一」がそのまま法律になったら、セキュリティホール memo とセキュリティ関連 Mailing List アーカイブは閉鎖することになると思います。セキュリティホール memo メーリングリストを維持するのも困難かもしれません。

Workstation サービスのバッファオーバーランにより、コードが実行される (828749) (MS03-049)

Windows XP 用修正プログラム話に追記。 英語版の MS03-043 ページでは、version 2.2 (2003.11.14) でこの件が追記された。

「ゲストアカウントが（Exchange 5.5／2000で）有効になっていれば、たとえログインに失敗しても、ゲストアカウントは何でもできる状態にあるため、メール送信が可能だ。サーバをセキュアにするあらゆる手を打ったと思っていても、依然としてスパム業者に対してオープンだ」

　ゲストアカウントを無効にすればよい模様。 方法: KB 251149: [XIMS] ルーティングの制限に関係なく Guest アカウントを使用してメールを中継できる (Microsoft)。

　ベンダって何だろう。たとえば FirstServer はベンダになり得るのだろうか? フリーソフトウェアを開発している個人は?

Workstation サービスのバッファオーバーランにより、コードが実行される (828749) (MS03-049)

追加:

• TCP 139番ポートへのスキャンの増加に関する注意喚起 (JPCERT/CC)
• MS03-049が危険な理由 (ZDNet)
• ms03-049 exploit xp sp0
• Windowsの脆弱性(MS03-049)を攻撃するプログラムについて(11/14) (@police)
• MS03-049の脆弱性を攻撃するプログラムへの緊急の対応について (警察庁・総務省・経済産業省、2003.11.14)

　FrontPage 2000 Server Extensions, FrontPage Server Extensions 2002, SharePoint Team Services 2002 に 2 つの欠陥。

• Visual InterDev RAD Remote Deployment Support に含まれる fp30reg.dll に buffer overflow する欠陥がある。 これを悪用すると、remote から IWAM_machinename 権限で任意のコードを実行できる。

  この欠陥は Visual InterDev RAD Remote Deployment Support をインストールしていない場合には発生しない。Visual InterDev RAD Remote Deployment Support をアンインストールすれば回避できる。 Visual InterDev RAD Remote Deployment Support については Visual InterDev RAD Remote Deployment Support について に情報をまとめてみたので、こちらも参照されたい。

  CVE: CAN-2003-0822。 詳細情報: Frontpage Extensions Remote Command Execution。 exploit: Microsoft Frontpage Server Extensions fp30reg.dll Exploit (MS03-051)。 手元の Windows 2000 SP3 + FPSE 2000 + Visual InterDev RAD Remote Deployment Support でも再現できました。

• これまでもたびたび欠陥が発見されている「SmartHTML インタープリタ」に DoS 攻撃を受ける欠陥がある。

  CVE: CAN-2003-0824

　patch があるので適用すればよい。ただし、FrontPage Server Extensions 2002 用の patch は Windows Update では適用されないので、該当者は注意されたい。 SharePoint Team Services 2002 は Office Update すると適用される。 なお、Windows 2000 SP4 を適用してある場合は、この欠陥は存在しない。 また、Windows 2000 SP4 および「MS03-051 patch KB810217 を適用した Windows 2000 gold 〜 SP3」では Visual InterDev RAD Remote Deployment Support をインストール / アンインストールできなくなってしまっているようだ。

　UNIX 版 FrontPage Server Extensions については不明。 もし情報が出るとしたら、現在 FrontPage Server Extensions for UNIX をサポートしている Ready-to-Run Software のページ http://www.rtr.com/fpsupport/ に記載されるはず。ちなみに、MSDN の FrontPage Server Extensions のページ はもやはメンテナンスされていないように見える。

　KB: 813360

2003.11.21 追記:

　記述・構成を大幅に変更。Visual InterDev RAD Remote Deployment Support について へのリンクを追加。

2003.12.17 追記:

　Ready-to-Run Software 公式見解: pdate on "Microsoft Security Update 813360, ref MS03-051": (rtr.com)。「UNIX versions for the Microsoft FrontPage 2002 Server Extensions」 にはこの欠陥はないそうだ。FrontPage 2000 Server Extensions for UNIX については何も語られていないことに注意。FrontPage 2000 Server Extensions for UNIX はもはや維持されていないので、利用者は FrontPage 2002 Server Extensions for UNIX に移行した方がいいだろう。

• 》 HylaFAX Format String Vulnerability (Fixed) (securiteam.com)。 HylaFAX 4.1.8 で fix されているそうです。

• 》 Opera ねた

  • Opera Directory Traversal in Internal URI Protocol (Advisory)。opera:/ URL を使うと localhost 上の既知パス名の任意のファイルにたどりつける模様。Opera 7.22 で fix されている。

  • Opera Skinned : Arbitrary File Dropping And Execution (Advisory)。 Opera がサポートする Opera 固有の MIME タイプ (例: application/x-opera-skin) を使ってファイルをダウンロードさせると、このファイルが既知パスに設置される。Opera Directory Traversal in Internal URI Protocol (Advisory) を組みあわせれば、……。 Opera 7.22 で fix されている。

  • Opera Skinned & Opera Directory Traversal (Additional Details & a Simple Exploit)。 サンプルコード。

  2003.11.20 追記:

  実は opera 7.22 では直り切っていない模様: ペンギンもオペラを嘆く (::operash::)。

• 》 Update Your Copies of HijackThis and CWShredder (アダルトサイト被害対策の部屋)。 Windows 98/Me + 古い HijackThis / CWShredder + スパイウェア YAHOOSubst でシステム破壊の可能性がある、そうです。

　Oracle による深刻度表記: 1 (「非常にリスクが高くあまり専門的な知識がなくても攻撃が可能であるもの。影響が及ぶ製品に対して緊急（最も高い優先度）にパッチの適用または回避策の実施が必要です」)。

　Oracle9iAS Portal 9.0.2.3.0 以前、3.0.9.8.5 以前に欠陥。 Oracle9iAS Portal へのリクエスト URL に対して SQL injection 攻撃が可能。 この結果、remote から認証なしで Oracle9i 上のデータにアクセスすることが可能となる。

　回避策はない。patch があるので適用すればよい。また OracleAS Portal 9.0.4 にはこの欠陥はない。関連:

• 対応策
• 英語情報
• Multiple SQL Injection Vulnerabilities in Oracle Application Server 9i and RDBMS (#NISR05112003) (NGSSoftware)
• 0064-01　[Oracle]Oracle9i Application Server におけるSQLインジェクション脆弱性 (CTC)

• 》 SNS Advisory No.70 tsworks "Expand the Attachment" Buffer Overflow Vulnerability (LAC)。 tsworks 3.1 で修正されている。

• 》 SNS Advisory No.69 Eudora "Reply-To-All" Buffer Overflow Vulnerabilty (LAC)。 Eudora 5.1-Jr3 (日本語版) / 6.0 (英語版) で修正されている。

• 》 アダルトサイト被害対策の部屋から:

  • Internet Washerの削除 − 被害者続出… System Soap Proも同じベンダーです。 あこぎだなあ……。
  • YAHOOSubstの除去方法

• 》 SecurityFocus Newsletter #219 2003-10-13->2003-10-17

• 》 [Full-Disclosure] SRT2003-11-06-0710 - IBM DB2 Multiple local security issues。IBM DB2 version 7 / version 8 には local buffer overflow や format string 穴があり、しかも suid root でインストールされるので、local user が root 権限を得られる、のだそうだ。Fixpak 4 (v8) / Fixpak 11 (v7) というもので修正されるのだそうだ。

　「ある個人の方」は office さんですね。 Tea Room for Conference No.1613 と No.1612 も参照。 関連:

• 延べ約1200人分の個人情報流出　ACCS (毎日)
• 個人情報流出でACCSが謝罪会見 (毎日)
• ACCSの著作権・プライバシー相談サイトから個人情報が流出 (ZDNet)
• 「足元から火がついた」──ACCSの個人情報流出は1184件、脆弱性を3年以上放置 (ZDNet)

2003.11.18 追記:

　Tea Room for Conference No.1613-1。うーむ。 8 月の案内 の時点では旧 CGI の最新版からは既に欠陥は排除されていたのだろうが、旧 CGI の特定の版に欠陥があって修正され、さらに抜本的に改善されたのが新 CGI であることは、この文面からはわからないですねえ。

2003.11.19 追記:

　匿名希望さんから情報をいただいた (ありがとうございます)。

• http://slashdot.jp/comments.pl?sid=133390&cid=435775 に記載されている「今年の8月にファーストサーバより利用ユーザ宛に以下のメールが届いている」の全文は、こういうものだったそうだ。 なので、少なくとも、 Tea Room for Conference No.1613 にある

  また、今年には構造をまったくかえたCGIを新規にリリースして、該当のCGIの使用をやめるように指導しておりました。

  は正しくないようだ。

• さらに話はつづく。匿名希望さんによると、

  office氏とファーストサーバーのやり取りの中にあった「ユーザーに対して危険性を告知して、入れ替えをお願いした」というのは事実無根であるようです。
  というのもACCSが今回の件について記者会見することになったときに、ファーストサーバーは脆弱性のある旧CGIを利用しているユーザーのスクリプトを強制的に入れ替え作業を行っているからです。
  
  つまり、危険性を認知していたとしたらその段階で入れ替え作業が可能だったわけですし、知らなかったとしたらoffice氏に伝えたことは全て虚偽の報告であることになります。
  しかも、この入れ替え作業を行ったことについてサイト上では一切の報告がなされていません。

  うーむ……。Tea Room for Conference No.1613 には

  該当のCGIにつきましては、弊社でも脆弱性(洗浄不足)を認識しており、昨年末にお客樣へ通知の上、対応版をリリースし、

  とあるが、ファーストサーバーはなぜこのときに総入れかえをしなかったのだろう。また「お客樣へ」行った「通知」の内容はどんなものだったのだろう。 さらに、利用者に対するアナウンスがされていないというのは、どういうつもりなんだろう。

2003.11.25 追記:

• Tea Room for Conference に「ACCSのユーザ様、ファーストサーバー森川氏作のcgiをご利用になり情報を入力された全てのユーザ様への謝罪」という文書が掲載されている。

• ファースト鯖 144〜 (2ch.net)。 特に 152-154 は興味深い。

2004.01.30 追記:

　つづき: 欠陥を指摘するはずが個人情報流出。セキュリティ専門家に捜査の手。

　Windows 2000 / XP に欠陥。Workstation サービスに buffer overflow する欠陥があり、remote から local SYSTEM 権限で任意のコードを実行可能。 UDP 138/139/445, TCP 138/139/445 のフィルタリングや Workstation サービスの無効化によって回避できる。 Windows NT 4.0 / Me / Server 2003 にはこの欠陥はない。

　修正プログラムがあるので適用すればよい。

　Windows XP 用の修正プログラムは MS03-043 と共通。ただし、MS03-043 修正プログラムの古い版 (2003.10.16 配布開始) にはファイルの一部が正しくインストールされないという問題があった。これは新しい MS03-043 修正プログラム (2003.10.30 配布開始、デジタル署名のタイムスタンプが 2003.10.22 9:50:05 のもの) では修正されているそうだが、新しい MS03-043 修正プログラムは Windows Update や自動更新では更新できない。 また、新しい MS03-043 修正プログラムではインストールするファイルのバージョンも 5.1.2600.1301 から 5.1.2600.1309 へ変更されており、新しいものをインストールしないと HFNetChk / MBSA によるファイルチェックでエラーになってしまう。 というわけで、新しい MS03-043 修正プログラムを取得した上で、個別に適用する必要がある。

　Windows 2000 の場合は MS03-043 修正プログラムを適用していてもダメなので、 MS03-049 修正プログラムを新規に適用すること。

　CVE: CAN-2003-0812。 KB: 828749

関連:

• EEYE: Windows Workstation Service Remote Buffer Overflow (eEye、2003.11.12)
• Successful Reproduction of MS03-049 "Buffer Overrun in the Workstation Service Could Allow Code Execution (828749)" on Japanese Environment (LAC SNS、2003.11.12)
• CERT Advisory CA-2003-28 Buffer Overflow in Windows Workstation Service (CERT/CC)
  LAC による邦訳版 (2003.11.12)
• Vendor Status Note JVNCA-2003-28 (JPCERT/CC JVN)
• 雑学アドバイザリ CA-2003-28 (@sam's room)
• Microsoft Workstation サービスでのバッファ オーバーフロー (ISSKK、2003.11.12)
• Windowsの脆弱性について(MS03-049) (警察庁、2003.11.12)
• TCP 139番ポートへのスキャンの増加に関する注意喚起 (JPCERT/CC、2003.11.14)
• MS03-049の脆弱性を攻撃するプログラムへの緊急の対応について (警察庁・総務省・経済産業省、2003.11.14)
• Nessus plugin ID 11921。テストツールをつくるのはむつかしいらしい。

関連報道:

• MS03-049が危険な理由 (ZDNet)
• セキュリティ・ホールを突くコードが既に出現，4件目の“超特大”を解説する (日経 IT Pro)

exploit:

• [Full-Disclosure] Proof of concept for Windows Workstation Service overflow
• ms03-049 exploit xp sp0
• Windowsの脆弱性(MS03-049)を攻撃するプログラムについて(11/14) (警察庁)
• ms03-049 sp1a and sp0 now working.

Changelog:

2003.11.14

追加:

• TCP 139番ポートへのスキャンの増加に関する注意喚起 (JPCERT/CC)
• MS03-049が危険な理由 (ZDNet)
• ms03-049 exploit xp sp0
• Windowsの脆弱性(MS03-049)を攻撃するプログラムについて(11/14) (警察庁)
• MS03-049の脆弱性を攻撃するプログラムへの緊急の対応について (警察庁・総務省・経済産業省)

2003.11.17

MS03-043 version 2.2 (2003.11.14) 話を追記。

2003.11.21

追記:

• ms03-049 sp1a and sp0 now working.
• セキュリティ・ホールを突くコードが既に出現，4件目の“超特大”を解説する (日経 IT Pro)
• Nessus plugin ID 11921

　Windows Update の他に Office Update も必要です。

• Internet Explorer 用の累積的なセキュリティ更新 (824145) (MS03-048)

  対象: IE 5.01 SP2〜SP4、IE 5.5 SP2、IE 6 gold / SP1。 IE 5.01 SP2〜SP4 は Windows 2000 でのみサポートされる。 今流行っている ADODB.Stream ものの攻撃を止められるようになるのかな。

  CVE: CAN-2003-0814 CAN-2003-0815 CAN-2003-0816 CAN-2003-0817 CAN-2003-0823

  MS03-048 ページには NEC PC98x1 用の修正プログラムが掲載されていないけれど、Windows Update からは get できるそうです。麗美さん情報ありがとうございます。

  関連:

  • マイクロソフト社Internet Explorerの累積的な修正プログラムについて(MS03-048) (警察庁)

• Workstation サービスのバッファオーバーランにより、コードが実行される (828749) (MS03-049)

  対象: Windows 2000 / XP。詳細はこちら。

• Microsoft Word および Microsoft Excel の脆弱性により、任意のコードが実行される (831527) (MS03-050)

  対象: Word 97 / 98 / 2000 / 2002、Excel 97 / 2000 / 2002。 Word 2003 / Excel 2003 にはこの欠陥はない。

  CVE: CAN-2003-0820 CAN-2003-0821

• Microsoft FrontPage Server Extensions のバッファオーバーランにより、コードが実行される (813360) (MS03-051)

  対象: FrontPage 2000 Server Extensions, FrontPage Server Extensions 2002, SharePoint Team Services 2002。 詳細はこちら。

　まとめページ:

• 2003 年 11 月のセキュリティ情報 (Windows)
• 2003 年 11 月のセキュリティ情報 (Office)

　関連:

• Windows 2000/XPにまたもや“超特大”級のセキュリティ・ホール，早急に対策を (日経 IT Pro)

Mac OS X 10.3 ねた

FireWire 話に追記: A special message for Firewire 800 disk drive users (Apple)、FireWire 800対応製品をお使い方へ重要なお知らせ (ヤノ電器)。

• Virtual Disk Driver 3.1。bug fix だそうです。

• HijackThisログの解析例 （4） (アダルトサイト被害対策の部屋)。

• XSS 脆弱性検証支援ツール　たりくろす (他力本願堂本舗)

Apache HTTP Server 1.3.29 Released

Vine Linux: [ 2003,11,06 ] Apache にセキュリティホール

S/MIME、X.400及びOpenSSLの脆弱性について(11/4)

S/MIMEに関するセキュリティ問題の説明 (日立)、NISCC Vulnerability Advisory情報 (富士通) を追記。

　「フリーフォームなどで作成した特定の OfficeArt の図形を含む」Office 2003 の文書ファイルに対して、

1. Office XP で開き、[図形描画] ツールバーでフリーフォームの図形の線または塗りつぶしを変更し、保存する
2. その文書ファイルを Office 97 / 2000 で開き、再度保存する

と、文書ファイルが壊れてしまう場合がある模様。Office 2003 用の patch があるので適用しよう。

• 「Office2003」に欠陥、修正プログラム導入呼びかけ　MS (毎日)
• マイクロソフトの「Office 2003」に不具合〜修正プログラムを公開 (INTERNET Watch)

　Mac OS X 10.3 および Mac OS X Server 10.3 に付属の「Terminal」アプリに欠陥があるそうだ。詳細不明だが、「Terminal」アプリから権限を越えたアクセスが可能になる模様。Mac OS X 10.2 以前にはこの欠陥はない。 patch が出ているのでソフトウェアアップデートで適用すればよい。

　CVE: CAN-2003-0913。 古暮涼氏による邦訳版: [harden-mac:0542]。

　CUPS 1.1.18 以前における CUPS の IPP サポートに欠陥があり、remote から CPU 100% 状態 (busy loop) にできてしまう模様。CUPS 1.1.19 では直っている模様。

• Red Hat Linux: [RHSA-2003:275-01] Updated CUPS packages fix denial of service

　Oracle による深刻度表記: 2 (「中程度のリスクがあり、攻撃には専門的な知識を必要とします。上記1ほど緊急ではありませんが、パッチの適用または回避策の実施が必要です」)

　Oracle Collaboration Suite (OCS) リリース 1 に付属する Oracle Files 9.0.3.1.x, 9.0.3.2.0, 9.0.3.3.5 以前に欠陥。

• Oracle Files への Web アクセスにおいて Web Cache を経由するよう設定されていて (デフォルトでそうなっている)、かつ
• 有効な Oracle Files ユーザアカウントを使用できる

場合に、Oracle Files 上の任意のユーザが、本来アクセスできないはずのコンテンツに対してアクセスすることが可能なのだそうだ。

　Oracle Files 9.0.3.3.6 で修正されている。Oracle Files 9.0.4.1.0 にはこの欠陥はない。 また、回避方法が存在する。詳細はこちらを。

　英語版: Unauthorized Access to Restricted Content in Oracle Files (oracle.com)。

　OpenBSD の、少なくとも 3.3 と 2.8 に欠陥。特殊な細工を施した実行ファイルを実行させると OS が crash してしまう。デモコード。 2003.11.04 時点で修正されている。

• OpenBSD 3.4 用 patch
• OpenBSD 3.3 用 patch

　OpenBSD 3.2 以前はもはや維持されていない。

• S/MIME 話: NISCC Vulnerability Advisory - 006489/SMIME: Vulnerability Issues in Implementations of the S/MIME Protocol (uniras.gov.uk)

  現状では、日立の PKI Runtime Library と Groupmax Mail - Security Option に DoS 攻撃を受ける欠陥があることが明らかになっている。 が、日立セキュリティ情報 には何もない。

  時間の経過とともに、もっと増えるのかもしれない。

  2003.11.07 追記:

  S/MIMEに関するセキュリティ問題の説明 (日立)。

• X.400 話: NISCC Vulnerability Advisory 006489/X400: Vulnerability Issues in Implementations of the X.400 Protocol (uniras.gov.uk)

  現状では、欠陥が明らかとなっている製品はない。 しかし、時間の経過とともに登場してくるのかもしれない。

• OpenSSL 話: OpenSSL Security Advisory [4 November 2003]: Denial of Service in ASN.1 parsing (openssl.org)

  NISCC Vulnerability Advisory 006489/OpenSSL: Vulnerability Issues in OpenSSL の修正として OpenSSL 0.9.6k を出したが、その後 Novell が、Windows 版 OpenSSL 0.9.6k に DoS 攻撃を受ける欠陥が存在することを発見したのだそうだ。この欠陥は OpenSSL 0.9.7 には存在しない。また、現時点で影響が明らかになっているのは Windows 版のみ。

  OpenSSL 0.9.6l で修正されている。また OpenSSL 0.9.7 系列 (最新は 0.9.7c) に移行することでも解決される。

  CVE: CAN-2003-0851

各社の情報:

• S/MIMEに関するセキュリティ問題の説明 (日立)

• NISCC Vulnerability Advisory情報 (富士通)

Changelog:

2003.11.07

S/MIMEに関するセキュリティ問題の説明 (日立) を追記。

MS03-042: Windows トラブルシュータ ActiveX コントロールのバッファ オーバーフローにより、コードが実行される (826232)

アップデートされた理由: 830846 - Windows Update のインストール中、応答が停止するか、大部分またはすべての CPU リソースが消費される (Microsoft)。

MS03-043: メッセンジャ サービスのバッファ オーバーランにより、コードが実行される (828035)

アップデートされた理由: 830846 - Windows Update のインストール中、応答が停止するか、大部分またはすべての CPU リソースが消費される (Microsoft)。

MS03-045: リストボックスおよびコンボボックスのコントロールのバッファ オーバーランにより、コードが実行される (824141)

アップデートされた理由: 830846 - Windows Update のインストール中、応答が停止するか、大部分またはすべての CPU リソースが消費される (Microsoft)。

[Full-Disclosure] IE Security hole exploited once again - "britney.jpg" irc worm.

[Full-Disclosure] _another_ Internet explorer vulnerability (spread via IRC) - new variation of irc.trojan.fgt。類似品が登場しているようで。

Fun with /bin/ls, yet still ls better than windows

Red Hat Linux: [RHSA-2003:309-01] Updated fileutils/coreutils package fix ls vulnerabilities

Apache HTTP Server 1.3.29 Released

Miracle Linux: apache セキュリティ

• 》 WMI Filtering for Windows 2000。

• 》 PuTTY で ISO 2022 による日本語入力・表示を可能にするパッチ が 2003.10.31 にアップデートされています。stm_d さん情報ありがとうございます。

• 》 Default Account Database v4.00 というものがあるようなのですが、これって、紹介すると不正アクセス禁止法に触れたりするんだろうか……。

• 》 [port139ml:04351] SIDTk - SecurIT Intrusion Detection Toolkit

• 》 Virtual Disk Driver Version 3 (VMware の背中) が出ています。

• 》 Scanning Tools。いろいろまとめのあるページ。

• 》 mod_ssl 2.8.16-1.3.29 が出ています。

  • Miracle Linux: mod_ssl セキュリティ

• 》 [Full-Disclosure] IE6 - Crash via DOS device。 [Full-Disclosure] Internet Explorer 6 DoS Bug の親戚でしょうか。

• 》 IRM 008: Citrix Metaframe XP is vulnerable to Cross Site Scripting。

• 》 Mac OS X USB Keyboard Root Access。

• 》 Ultra 320 Time-Out Firmware Upgrade。 Cheetah 10K.6: ST3146807; ST373307; ST336607 の OEM firmware 0006 以前、 Cheetah 15K.3: ST373453; ST336753; ST318453 の OEM firmware 0005 以前で、少なくとも U320 Adaptec および LSI SCSI コントローラでは、RAID 0/1/5 していると、U320 packetized mode でハングったりする模様。firmware を upgrade すれば解決する。 upgrade については、 Seagate SCSI-HDDファームのアップ が参考になる。stm_d さん情報ありがとうございます。

  先日手元に届いた disk がおもいっきり該当してるじゃん…… (T_T)。

• 》 multiple payload handling flaws in isakmpd。 OpenBSD の isakmpd にいくつかの問題。 2003/09/02 の変更で、いくつかについては fix されたみたい。

• 》 [BUGZILLA] Security Advisory - SQL injection, information leak。 bugzilla 2.16.4、および最新の開発ソースで修正されているそうです。

• 》 Security problems in Ethereal 0.9.15 (ethereal.com)。 Ethereal 0.9.16 で修正されているそうです。