Last modified: Tue Jul 11 13:29:59 2006 +0900 (JST)
》 よくできた詐欺メール (奥村晴彦のWiki, 10/29)。 ニセ義援金募集ですか……。三輪さん情報ありがとうございます。
》 NHKはいったい何がしたかったのか (高木浩光＠茨城県つくば市 の日記, 10/29)。 個人情報漏曳としての安否情報発信話。
》 ビンラディン容疑者、米同時多発テロ認め今後の攻撃警告 (asahi.com, 10/30)。これって本物なの?
》 イラクで人質となった香田証生さん、遺体確認説は大誤報の模様
高遠さんらのときも「人質事件を自作自演と誤認」「一方的な政府主張ビデオを流すことにより、まとまりかけていた人質解放話をおじゃんにする」など、無策無能ぶりをさらけ出していた日本政府ですが、今回もだめっぷり全開のようで。 日本政府なんて全くあてにできない、という意味では、確かに「自己責任」が重要です。
》 CCDカメラと超小型サーバーを用いた“ヘルメットソリューション” (Enterprise Watch, 10/29)。 リスクレンジャーですか……。 やっぱり 5 色必要なんじゃないのか (違)。
》 Bagle 亜種まつり、きてますね。
local mirror の状態がめちゃめちゃだったのでひさしぶりに調べてみたら、ftp.nai.com って、いつのまにか ftp.nai.speedera.net の CNAME になっていたんですね。
》 荒川が洪水になったら!? そのとき……携帯へお知らせ (MYCOM PC WEB, 10/25)。はじめにドコモありきですか。いやはや。 緊急時にメール送るだけ、というオプションがあってもいいような気がするんだが。それなら他ベンダー携帯のユーザも利用できるだろうに。 それとも、その程度のものは既にある、ということだろうか。
》 MS「条項は消費者利益にかなう」 公取と全面対決 (ITmedia, 10/25)。Microsoft にとっては正当なんでしょうねえ。 しかし PC と家電の区別がいよいよつかなくなりつつある時代においては、 「特許非係争条項」なんてのはあり得ないでしょう。
検疫もの、私もいろいろ調べてみたのですが、お値段が高かったり、制限が多かったりで、現状では導入はなかなかむつかしいって感じ。
》 米MSがSender IDの新版をIETFへ提出，「下位互換性を明確にした」 (日経 IT Pro, 10/28)。ライセンス話はどうなったの?
鶴亀メール 3.70 以前に欠陥。S/MIME の署名検証が不十分である (証明書パスが検証されない、有効期限が検証されない) ため、自己署名証明書を使った電子署名メールを送られても、そうとは気がつかない。
鶴亀メール 3.71 以降で修正されている。 鶴亀メールの改版履歴 を見る限りでは 3.70 で直っているような気がしないでもないのだが、最新は 3.71 なので、まあいいか。
関連: 開発者のプライドか、それとも「脆弱性」のネガティブイメージの影響か (高木浩光＠茨城県つくば市 の日記, 2004.10.30)。
このままではJVNは役に立たない (高木浩光＠自宅の日記, 12/19)。 鶴亀メールの S/MIME まわりにはさらなる欠陥があり、4.00 版で修正された (「S/MIME電子署名の検証関係での脆弱性のバグ対応」) のだが、 そのことが JVN の記述からはわからない、という指摘。
IE 6.0 SP1 において URL を詐称するリンクが作成可能だ、という指摘。 手元で試したところ、IE 6.0 SP1 と IE 5.01 SP4 で再現でき、 IE 6.0 SP2 (Windows XP SP2), Mozilla 1.7.3, Opera 7.54 では再現できなかった。 再現できないブラウザを使いましょう。
……ひろりんさんから (ありがとうございます):
試されたものでは、
<a href="http://www.microsoft.com/"><table><tr><td><a href="http://www.google.com/">Click here</td></tr></table></a>
となっておりますが、これをHTML的に正しそうな状態である、
<a href="http://www.microsoft.com/"><table><tr><td><a href="http://www.google.com/">Click here</a></td></tr></table></a>
のようにテーブル内にもちゃんとを入れてやるとFirefox0.10.1でも、ステータスバーへのリンク先表示がmicrosoftになります。
このとき、リンクをクリックする方法によって、
１）同一ウインドウで表示させると、ステータスバーどおりでmicrosoft
２）他のタブや新ウインドウで表示させると、ステータスバーの内容に反してgoogle
のような挙動を示しました。
さっそく試してみたところ、手元の Mozilla 1.7.3 でも同様になりました。 Opera 7.54 ではどちらも google が出ました。
さらに新たな手法: Re: New URL spoofing bug in Microsoft Internet Explorer。 例によってテストページをつくってみた。 IE 6.0 SP2 でもひっかかるっぽい (色が変だけど)。 Mozilla 1.7.3 はひっかからない。 Opera 7.54 だとひっかかりそう (よく見れば判断できるかもなのだけど)。
関連: IEのステータス・バーを偽装する手法が複数公開される (日経 IT Pro, 2004.11.01)
888952 - [IC2004] MS04-038 適用後、連絡先情報でドラッグ アンド ドロップができない (Microsoft)。InterConnect 2004 で副作用が発生するそうです。
Exploit-RealSkin (マカフィー)。 「現行のエンジン」という書き方は誤解を招きそうだなあ。 英語版。
fix / patch:
PuTTY IPv6 も 0.56 ベースになったそうです。
》 米連邦地裁、フロリダ州電子投票に印刷記録の義務なしと判断 (WIRED NEWS, 10/28)。なんでもアリってことで。
》 SSH2対応TTSSH (vector.co.jp) というものがあるのですか。vector には 1.00 alpha1 しかないようですが、 作者の 平田さんのホームページ では 1.00 alpha4 (2004/10/25) が最新のようです。 UTF-8 対応 TeraTerm Pro というものもあるのですね。 これも、平田さんのホームページ では 2.05a (2004/10/25) が最新のようです。 (link fixed: 匿名希望さん感謝)
》 【新潟県中越地震】被災地に電源車を急行──電力系TOHKnetの決断 (日経 IT Pro, 10/27)。このとき集積された道路情報は、行政や警察にフィードバックされたのだろうか。
》 セキュリティコラム - 止まらないウイルスの増大、進化をとげるマイクロソフトの技術 (Microsoft, 10/27)。 挙げられている課題は、技術的に解決するのが困難なものが多いなあ。
QuickTime 6.5.2 登場。2 つの欠陥が修正されている。
Windows 版の QuickTime に欠陥。integer overflow が発生するため、悪意ある HTML により任意のコードを実行可能。 Mac OS X 版の QuickTime にはこの欠陥はない。
Windows 版、および Mac OS X 版の QuickTime に欠陥。 BMP 画像の扱いに欠陥があるため、悪意ある BMP ファイルにより任意のコードを実行可能。 Mac OS X 向けには、既に APPLE-SA-2004-09-30 Security Update 2004-09-30 において修正されている欠陥。
QuickTime 6.5.2 は http://www.apple.com/quicktime/download/ から入手できる。 iTunes はイラネという人は QuickTime Standalone Installer から。 (らむじぃさん感謝)
関連:
古暮涼氏による APPLE-SA-2004-10-27 QuickTime 6.5.2 邦訳版: [harden-mac:0690]
High Risk Vulnerability in Quicktime for Windows。 NGSSoftware が発見したそうだ。詳細は 2005.01.28 に公開する、とされている。
High Risk Vulnerability in RealPlayer。NGSSoftware が発見したそうだ。詳細は 2005.01.27 に公開する、とされている。
CVE: CAN-2004-0916
fix / patch:
開発者の間でも、release 用のディレクトリに tar ball が置かれたということは実質的にリリースされたようなものだ、という意見はあるようです。ですが、リリースのアナウンスのメール送られていません。来たるべき 1.3.33 のアナウンスでは 1.3.32 は「正式には」リリースされなかったということになっています。
なんだそりゃ〜。
PuTTY 0.55 以前に欠陥。SSH2_MSG_DEBUG パケットの処理に欠陥があるため、 悪意ある ssh サーバが PuTTY 動作権限で任意のコードを実行することが可能。 2004-10-26 ANOTHER SECURITY HOLE, fixed in PuTTY 0.56 によると、SSH2 プロトコルにおいては、攻撃はホストキー認証の前に行うことが可能とされている。
PuTTY 0.56 で修正されている。 また PuTTY で ISO 2022 による日本語入力・表示を可能にするパッチ も 0.56 ベースのものが登場している。木村さん情報ありがとうございます。 PuTTY β 0.56 ごった煮版 も 0.56 ベースになったそうです。藤井さん情報ありがとうございます。
関連: GLSA 200410-29 - PuTTY: Pre-authentication buffer overflow (gentoo.org)。
PuTTY IPv6 も 0.56 ベースになったそうです。
WinSCP
3.71 が出ています。SSH core upgraded to PuTTY 0.56
だそうです。stm_d さん情報ありがとうございます。
PuTTY 0.56 + IPv6 patch10 + fix01 というものがあるそうです。stm_d さん情報ありがとうございます。
LM ハッシュを破棄する方法と、その影響。 LM ハッシュは Project RainbowCrack とか使われるとすぐヤラれるらしいです。 セキュリティフライデー，脆弱なパスワードを数秒で解読するシステムを開発 (日経 IT Pro, 5/20) にあるように、NTLM も v2 でないとあれな模様なのですが、その話はきっと Part 2 以降で出てくるのでしょう。
》 水曜プレミア 夜回り先生 (TBS)。本日放映。 夜回り先生 のドラマ化。
水谷修先生の夜回り日記 (毎日) という連載があったとは、不覚にも知らなかった。 学校、辞められたんですね: 第３１回 水谷先生、高校教師を辞職へ。1 日は 24 時間しかないんですよね。 水谷先生に、ボーナス時間 8 時間とかさしあげられればいいんですが……。
水谷修の春不遠 (高文研) というページもあるのですね。 って、チェチェンで何が起こっているのか の高文研ではないか……。
》 セキュリティ解説 第8回「デジタル・フォレンジック」 (警察庁, 10/1)。
》 分析レポート「SYN flood 攻撃被害観測システムについて」 (警察庁, 10/25)。たとえば図 1 なのだが、どういうセンスをしていると、こういう絵を使おうと思うのだろう。 そういえば、ハイテク犯罪捜査の基礎知識もこんな感じだなあ。
》 サポート終了予定製品のお知らせ（2004年10月〜2005年1月） (トレンドマイクロ)。ウイルスバスター2003 は今年末で終了。
》 イラクで日本人男性拉致か アルジャジーラが放映 (asahi.com, 10/27)。朝の NHK ニュースでは人質画像が掲載されている web ページの映像を流していたのだが、どこの web ページだろう。
「Program Group Converter の脆弱性」の回避策として「.grp ファイルと grpconv.exe アプリケーションの関連付けを削除するよう .inf ファイルを使用してレジストリの設定を変更する方法」が MS04-037 に記載されていたが、これは、 Windows NT 4.0 と Windows 2000 では機能しないことが判明。 「この回避策は、Windows XP、Windows XP Service Pack1 および Windows Server 2003 でのみ有効です」という注が追記された。
Windows 用の RealOne Player v1/v2、RealPlayer 10 / 10.5 に欠陥。 DUNZIP32.DLL において buffer overflow する欠陥があり、 悪意あるスキンファイルによって任意のコードを実行可能。 Windows 用の RealPlayer 8 にはこの欠陥はない。 また Mac OS や Linux など、Windows でないプラットホーム向けの RealOne Player / RealPlayer にはこの欠陥はない。 CVE: CVE-2004-1094
RealPlayer 10.5 (6.0.12.1056) で修正されている。 また、RealOne Player v1/v2、RealPlayer 10 / 10.5 用のアップデートが用意されている。
High Risk Vulnerability in RealPlayer。NGSSoftware が発見したそうだ。詳細は 2005.01.27 に公開する、とされている。
Exploit-RealSkin (マカフィー)。 「現行のエンジン」という書き方は誤解を招きそうだなあ。 英語版。
》 「フィッシングは“人”への攻撃，システムでは守り切れない」——Bruce Schneier氏 (日経 IT Pro, 10/22)
》 関西電力の悪質な不正計１０１件 検査データ改ざん問題 (asahi.com, 10/26) (fixed: 匿名希望さん感謝)
》 オランダで１０００人以上感染か 昨年の鳥インフルエンザ (京都新聞, 10/26)
》 中国、鉱区データ提供せず 日本側水域では開発なし 天然ガス田で局長級協議 (中日, 10/26)。あいかわらず。
》 上越新幹線、復旧に１カ月以上 トンネル・橋の被害深刻 (asahi.com, 10/26)。橋脚からつくりなおすとなると、1 か月じゃ済まなさそうですね……。
》 カラスの模型でカラスよけ 東京・新宿で被害激減 (asahi.com, 10/26)。へぇ。
》 未承認の「のむ中絶薬」、厚労省が注意喚起 (asahi.com, 10/26)
》 現在の防災ボランティア関係情報 (内閣府)。人力ボランティアの活躍の場は、今のところ、台風 23 号被害方面にあるように見える。実際、「半分水につかった家」のあとかたづけはたいへんで、人手が必要だ。たとえば、水を吸った疊というのはとっても重いものだ。 テレビも冷蔵庫も捨てるしかないし。 あらかたかたづけた後は、 茶碗を 1 個 1 個洗う、なんて作業も必要なので、パワーがないとできない仕事ばかりでもない。
あと、これ:
自分が行ったり物資を送ることはもちろん重要ですが、現地のボランティアが、現地のニーズに見合ったモノを、速やかに購入するため等のお金もまた重要です。交通費分、あるいは、今いる場所でバイトしたお金などを、活動基金に送ることも立派なボランティアです。
》 医療調、パブコメ実施中 (The Trembling of a Leaf, 10/23)
》 米国特許が愛想を尽かされる理由 (ITmedia, 10/19)。
》 Macにはめずらしいシェルベースのマルウェア見つかる (CNET, 10/26)。 まあ、中身は BSD UNIX ですからね。 関連: 『Renepo』ワーム、Mac OS Xに対し、広範囲にわたる反セキュリティ攻撃を開始 (Sophos)
888098 - Windows XP SP2 ベースのコンピュータ上の Ntvdmd.dll ファイルのバージョン番号が、Windows XP SP2 ベースの他のコンピュータまたは更新プログラム MS04-032 に含まれる Ntvdmd.dll のバージョン番号より小さい (Microsoft)。仕様だそうです。
関連記事: 警察庁、7〜9月のSYN flood攻撃について分析〜中国への攻撃が最多 (Internet Watch, 10/25)。
国別では中国からの跳ね返りパケットが73,474件で最多、続いて米国が2,267件で2位。警察庁では「この2国からのパケットは定常的に検知しており、両国に対するSYN flood攻撃が常態化している」という。 (中略) 米国からの跳ね返りパケットではオンライン賭博サイトからのものが多く、「企業恐喝にSYM flood攻撃が用いられている可能性が高い」と分析。
ニセの Red Hat セキュリティ情報が出回っており、これに従って「patch」を適用すると、バックドアが作成される模様です。匿名希望さんご提供 (ありがとうございます) のニセ情報:
HTML メール、というあたりから怪しさ爆発です。ニセサイト www.fedora-redhat.com には現在は接続できないようです。
Red Hat は Security and Updates で次のように注意を呼びかけています。
Official messages from the Red Hat security team are never sent unsolicited, are always sent from the address secalert@redhat.com, and are digitally signed by GPG. All official updates for Red Hat products are digitally signed and should not be installed unless they are correctly signed and the signature is verified. For more details see www.redhat.com/security/team/key.html.
たとえば、ニセメールでは、patch のインストール手順がこのように説明されていました:
* First download the patch from the Security RedHat mirror: wget www.fedora-redhat.com/
fileutils-1.0.6.patch.tar.gz
* Untar the patch: tar zxvf fileutils-1.0.6.patch.tar.gz
* cd fileutils-1.0.6.patch
* make
* ./inst
しかし、まともな Red Hat の patch であれば GPG 署名された .rpm 形式で配布されるので、このようなインストール手順が記載されるはずがない、ということですね。
なお、バックドアコードとその解説が http://www.k-otik.com/news/FakeRedhatPatchAnalysis.txt.php に掲載されています。
関連:
》 台風接近時、停電でＩＰ電話不通に 京丹後 災害時の弱点示す (京都新聞, 10/25)。 うーん。防災拠点なのに自家発の 1 つもない、という事こそが問題だったりしないのかなあ。
》 ネット上の人権侵害情報 新ルール適用、少年の写真削除 (asahi.com, 10/25)。 「プロバイダ責任制限法 名誉毀損・プライバシー関係ガイドライン」の一部改訂 - 法務省人権擁護機関からの情報削除依頼対応プロセスの明確化 - (テレサ協, 10/06) の話。
》 東シナ海のガス田開発問題、日中協議始まる (読売, 10/25)
》 新潟中越地方で２５日雨の見込み、土砂災害の危険に注意 (asahi.com, 10/25)。雨露を凌げる場所はあるのだろうか……。
》 食料届かない、車も人手も足りず…避難３日目 (読売, 10/25)、 新潟中越地震： １３万食を輸送 政府、自衛隊機で (毎日, 10/25)、 水道、ガスは復旧進まず 新潟県中越地震 (産経, 10/25)。
例年１１月初旬から雪が降り始め、主要道は１メートル近い積雪が続く。積雪が本格化する前に、主要道を復旧させないと、手の施しようのない状態が続く。復旧作業が来春の雪解け以降になれば、村民が帰れるのはさらに遅くなるとみられる。近くの建設会社社長は「もう今年は直せないだろう」。
》 新潟県中越地震で通信網の断絶続く - 固定網・携帯網、復旧のめど立たず (MYCOM PC WEB, 10/25)。
》 滑走２キロ、軌道大破…新幹線脱線で事故調が本格調査 (読売, 10/25)。 JR 東日本には何の情報もなさげなのはなぜだろう。
》 災害用伝言板に“キャリアの壁” (ITmedia, 10/25)。ドコモの中の人はそれでいいと思ったんでしょうね。
》 期待高まる「検疫ソリューション」、実導入はこれから (ITmedia, 10/22)。
》 セキュリティ専門家3氏、フィッシング詐欺の国内上陸本格化を警告 (Enterprise Watch, 10/25)。
[Full-Disclosure] How to Break Windows XP SP2 + Internet Explorer 6 SP2 (http-equiv 氏) と [SA12889] Microsoft Internet Explorer Two Vulnerabilities (secunia) の件。http://www.malware.com/noceegar.html にデモページがある模様。
PivX の Thor Larholm 氏は 問題の存在を確認し、 QwikFix をインストールしてあれば防げる、としている。 また、
In order for http-equiv's exploit to work the "ceegar.html" file uses the AnchorClick behavior to open "C:\WINDOWS\PCHealth\" in a named window which is then used as a drop target for the DYNSRC pointing to the "malwarez" file. When any behavior in IE tries to list a local directory it uses the Shell.Explorer ActiveX object, an object which has no justification of use inside the browser but which is heavily used by Windows Explorer itself.
ということに関連して、Shell.Explorer ActiveX オブジェクトに kill bit を設定するための .reg ファイルが http://www.pivx.com/research/freefixes/neutershellexplorer.reg で公開されているという。 neutershellexplorer.reg を適用すると、デモページがうまく動かなくなることを手元の Windows XP SP1 で確認した。
888534 - Internet Explorer のセキュリティ上の問題 "クリックとスクロール" からコンピュータを保護する方法 (Microsoft)。 MS04-038 を適用し、インターネットゾーンおよびイントラネットゾーンで「ファイルのドラッグ/ドロップ、またはコピー/貼り付け」を無効とすれば回避できるようです。
MS05-008 と MS05-014 との合わせ技で修正されている。 (CVE: CAN-2005-0053
pacsec.jp に参加した方から、Firewire/IEEE1394に物理的セキュリティ侵害につながる脆弱性 は恐いものがあった旨、教えていただいた。 ターゲットコンピュータに IEEE1394 経由で攻撃者のコンピュータを接続し、とあるツールを動かすと、ターゲットコンピュータの内部情報にアクセスできる他、ターゲットコンピュータ上で動作しているプロセスの権限を直接 (!) 変更できたりする……というデモが行われた模様。
FireWire Presentation and Demos on Video (Red Team, 11/18)。
MS04-032 の副作用問題、Microsoft により対応されたようです。
》 新潟方面は地震でたいへんみたいですね……。 お見舞い申しあげます。
NTT の災害伝言ダイヤル (171) (インターネット版) が起動されているようですが、各局の TV をみていたところ、 171 をアナウンスしているのはなぜか読売系だけみたいだった。 NHK は独自の安否情報 をやっているからなのかもしれないが、しかしなあ。「電話がつながりにくくなっております」とは伝えるのに、171 の存在を伝えない、という行動は理解できない。 不思議だ。まさかとは思うが、171 知らないのか?!
関連: 新潟方面を中心とした地震による通信サービス等への影響 及び「災害用伝言ダイヤル（１７１）」の運用開始について (NTT 東日本, 10/23)
（２）ふくそう
新潟方面に向けて、交換機の処理能力を超えた電話のコールが集中しているため、電話がかかりにくくなっています。
※ ２２時００分現在、全国から上記地域への通話量の最大約７５％程度をコントロール（規制）している状況です。
２２時００分現在、新潟県内の通話量の最大約１５％程度をコントロール（規制）している状況です。
(中略)
３．報道機関の皆様へのお願い
「災害用伝言ダイヤル（１７１）」の運用を開始しておりますので、繰り返しアナウンスしていただきますよう、よろしくお願い致します。
》 地震発生による影響について（２３時現在） (東北電力, 10/23)
・ 感電の危険があるため，くれぐれも切れた電線には近づいたり，触れたりしないでください。
・ 漏電による火災防止のため，自宅を離れる際は，分電盤のブレーカーを下げて外出してください。
・ 外出から戻られた際には，家屋の状況を確認したうえでブレーカーを上げていただき，電気が点かない場合は東北電力までご連絡をお願いいたします。
》 新幹線 地震時は２１０キロ (NHK, 10/23)。脱線したのは 10 両のうち 8 両だった、と報道されていますね。 新潟地震： 脱線した「とき３２５号」をヘリからルポ (毎日, 10/23)。 地震で脱線の新幹線、「人的被害なしは奇跡」の指摘も (読売, 10/23)。 確かになあ。
》 ＴＶやネット、地震被害・住民安否情報を速報 (asahi.com, 10/23)。 テレ朝が「土曜ワイド劇場」をダラダラと放映し続けていたのが妙に印象的であった。23:00 以降も地震報道をし続けているのは NHK だけっぽいなあ。
》 サマワの陸自宿営地にロケット弾、居住地区かすめ着弾 (asahi.com, 10/23)
砲弾は宿営地の北側から発射され、隊員の居住区域をかすめる形で宿営地内の緩衝地帯に落ちた。砲弾は信管が抜けており、防衛庁内には「自衛隊への威嚇が目的ではないか」との見方もある。
警告ってやつですか。
》 News from the Lab Friday, October 22, 2004。興味深い図ですねえ。
》 ウイルスバスター2005を「すべての機能」でインストールしたが、パーソナルファイアウォールの機能がグレーアウト（灰色）になる (トレンドマイクロ, 10/23)。
》 米産牛肉の一部輸入を容認「２０か月以下」保証分 (読売, 10/23)
米政府が生後２０か月以下と保証した牛について輸入を容認する。日本の新ＢＳＥ対策が施行される来年春以降に、輸入が再開される見通しだ。ただ、具体的な履歴の確認方法は今後の協議にゆだねられる。また、履歴を証明できる牛は全米の１割程度と見られており、本格的な輸出再開の実現までには曲折も予想される。
》 日本主催のＰＳＩ訓練、２５日開始を前に豪艦船が到着 (読売, 10/23)。これって日本が主催だったのか。
apache 1.3.32 以前の 1.3 系列に欠陥。mod_include に buffer overflow する欠陥があるため、server side include (SSI) が有効なサーバ領域にファイルをアップロードできる場合に、apache サーバ権限で任意のコードを実行することができる。 Exploit は Red Hat Linux 9.0 での実行を確認できている、とされている。 SSI を無効にすれば (デフォルトは無効)、この欠陥は回避できるはず。 CVE: CAN-2004-0940
参照記事のタイトル自体は「Apache <= 1.3.31 mod_include local buffer overflow Exploit」なのだが、1.3.32 の登場により誤解されかねないので、この記事では <= 1.3.32 に直してある。
apache-1.3/src/modules/standard/mod_include.c 1.141 ではこの欠陥が修正されている。 1.140 との diff を apache 1.3.32 に適用の上、apache を再構築すればいいのかな。
apache 1.3.33 が出ました。この欠陥が修正されています。 CHANGES_1.3。
apache 1.3.32 が登場しました。
CAN-2004-0492 (cve.mitre.org)
遠隔サーバからの無効な (負の) Content-Length の応答を拒否する。
という欠陥が修正されているそうです。負の Content-Length というと、 先日の Helix Server の潜在的な脆弱性 が想起されます。 Overview of security vulnerabilities in Apache httpd 1.3 (apacheweek.com) を見ると、 CAN-2004-0492 は [Full-Disclosure] Buffer overflow in apache mod_proxy, yet still apache much better than windows の fix である模様。
apache 1.3.32 のリリースアナウンスにはこんな文章も:
Forensic ロギングが有効になっているときに、ある無効なリクエストを送られると子プロセスがセグメンテーションフォールトを起こす症状をもたらした mod_log_forensic のささいなバグを修正。PR 29313。
mod_log_forensic というものが apache 1.3.30 以降にはあったんですね。知りませんでした。
開発者の間でも、release 用のディレクトリに tar ball が置かれたということは実質的にリリースされたようなものだ、という意見はあるようです。ですが、リリースのアナウンスのメール送られていません。来たるべき 1.3.33 のアナウンスでは 1.3.32 は「正式には」リリースされなかったということになっています。
なんだそりゃ〜。
》 平成16年台風第23号による被害状況について(第7報) (内閣府防災部門, 10/22)
》 製品Q&A（トラブルシューティング） (トレンドマイクロ) には、ウイルスバスター 2005 ねたがさっそく登場していますね。
》 “Webのパスポート”になれなかったMS Passport (ITmedia, 10/21)。いろんな意味で、失敗でした、と。
》 Oracleのパッチプログラムにユーザーから不満の声 (ITmedia, 10/21)。
》 「守り」ではなく「攻め」のセキュリティを——内閣官房山崎氏 (ITmedia, 10/21)
》 年賀状作成・住所録管理ソフト「筆まめ」 と VirusScan Enterprise 8.0i 環境での不具合について (マカフィー)。 まだ原因不明のようです。 スキャン対象を「デフォルトの拡張子と追加した拡張子 (D)」にすることで回避できるそうです。
》 VirusScan Enterprise8.0iインストール後、共有フォルダが参照できなくなりました (マカフィー)。Aventail VPN Client と競合するそうで、HotFix VSE80P07 で修正されるそうです。
》 トレンドマイクロ の パターンファイル 2.210.00 で、Windows XP gold の SMSS.EXE (バージョン 5.1.2600.0) を「BKDR_AGENT.CZ」だと誤認識する欠陥が発生しているそうです。 XP SP1 の人も、SP1 アンインストール用のバックアップとして保存されている XP gold の SMSS.EXE に反応してしまうそうです。 ちいちゃんさん情報ありがとうございます。
関連: QNo.1051377: BKDR_AGENT.CZ (OK Web)。
……サポート情報出ました: パターンファイル 2.210.00 における誤警告情報 (トレンドマイクロ)。2.212.00 で修正されたそうです。
註：駆除されたファイルが元に戻せない場合、お手数ですが対象ソフトウェアの再インストールをお願いいたします。
さらっと言ってのけるとは、ええ根性してますなあ。
》 F-BOT (F-Secure) というツールが公開されたそうです。
The F-Bot utility disinfects computers infected with all known by October 2004 variants of the following backdoors:
Wootbot (also known as Backdoor.Win32.Wootbot)
Agobot (also known as Backdoor.Win32.Agobot)
Forbot (also known as Backdoor.Win32.Forbot)
Rbot (also known as Backdoor.Win32.Rbot)
Spybot (also known as Worm.P2P.Spybot)
IRCBot (also known as Backdoor.Win32.IRCBot)
SDBot (also known as Backdoor.Win32.SdBot)
The F-Bot utility can also disinfect computers that are infected with new variants of these backdoors, however disinfection will only work if these variants are detected generically by AVP engine.
》 News from the Lab (F-Secure) の Wednesday, October 20, 2004 で、ラップトップ PC 向けの Kensington Lock の、PC 側の耐久性を検証していますね。 ここでも http://www.security.org/ がリンクされています。
》 UpdateEXPERT サポート情報 (updatecorp.co.jp) は、UpdateEXPERT を使っていない人にもなかなか興味深そうですね。
》 個人情報保護がバックアップ監査を強制する (日経 IT Pro, 10/19)。これ自体は USA でのお話ですが、日本でも似たような状況が存在する場面はあるのだろうなあ。
》 日経Windowsプロセミナー 基礎から学べるセキュリティを保つWindowsのパッチ管理。 2004.11.01 (東京都千代田区) / 2004.11.29 (大阪市中央区)、14,800円 (日経 Windows プロ 1 年講読料込)。XP SP2 話・MBSA / SUS 話などの模様。
手元のシステムには、今年のリプレースで Update Expert 6.1 というものが導入されたのですが、SUS と比べると、やたら詳細な製品ですねえ。Windows Update Services がまだ存在しない現状では、Microsoft Office 対応はうれしいところではありますが。
BIND query大量送信によるTCP SYN_SENT状態遷移時のサーバリソース消費に関する問題の分析結果 (IPA, 2004.10.22)
mod_ssl 2.8.20-1.3.31 が出ています。この欠陥が修正されています。
fix / patch:
Mozilla や Opera などの多くのタブ対応 web ブラウザに欠陥。
非アクティブなタブにおける JavaScript なダイアログを、あたかも他のアクティブなタブに存在するように表示させることが可能。利用者は、アクティブなタブが示すサイトからのダイアログ表示だと勘違いしてしまう。 デモサイトが公開されている。
非アクティブなタブの form フィールドへ、フォーカスを強制することができてしまう。利用者は、アクティブなタブが示すサイトの form に入力していると勘違いしてしまう。 デモサイトが公開されている。
Secunia によると、Mozilla 1.7.3, Firefox 0.10.1, Netscape 7.2, Avant Browser 9.02 / 10.0, Maxthon (MyIE2) 1.1.039 には両方の欠陥があるという。 また Opera 7.54 には前者の欠陥がある (後者については存在しない) という。 手元の Mozilla 1.7.3 でも欠陥の存在を確認できた。
窓の杜によると、Sleipnir 1.66, WeBox 0.98A,すごいたぶちさん 4.0 にも両方の欠陥があるという。 また Collector 3.2 には前者の欠陥がある (後者については存在しない) という。 影鷹 0.3.1 にはどちらの欠陥も存在しないという。
回避するには JavaScript (アクティブスクリプト) を無効とすればよい。 各ブラウザとも、修正版はまだ存在しないようだ。
cabextract 1.0 以前に欠陥。.. バグがあり、意図しない場所にファイルが展開される恐れがある。 cabextract 1.1 で修正されている。 CVE: CAN-2004-0916
Google Script Insertion Exploit の話のようです。 ITmedia 記事では「修正した」と過去形ですが、 Google Desktop Exploit で Jim Ley 氏は
Google have now patched their boxes, and the last time I saw the exploit working was 5:51 GMT on 20th October 2004, the fix doesn't seem to be complete to me - it still special cases the strings javascript and vbscript, so it's still possible to put things other than http urls into the img (which seems to be the only logical thing to allow to me)
と、「fix はまだ完全じゃない」と主張しています。
》 Self-certifying File System というものがあるのですね。
》 McAfee Support Information - 2004/10/21 - より:
◇ 下記の修正モジュールをリリースいたしました。 ライセンスダウンロードサイトよりダウンロード可能です。
◇ VSE80P07(対象製品：VirusScan Enterprise8.0i)
TDIドライバーによってブルースクリーンやリブートがおこることがあった。本パッチでは上記と、その他の問題を修正しております。詳細はリリースノートをご覧下さい。
◇ VSE80P08(対象製品：VirusScan Enterprise8.0i)
パスワードによる設定保護を行っていないにも関わらず、「スキャン除外設定」にパスワード保護がかかり、設定変更が出来なかった。詳細はリリースノートをご覧下さい。
◇ VSE80P09(対象製品：VirusScan Enterprise8.0i)
ZixcorpからWeb検索を行う際にエラーが発生することがあった。 本パッチでは上記と、その他の問題を修正しております。詳細はリリースノートをご覧下さい。
◇ ePO3028(対象製品：ePolicy Orchestrator 3.0.2a)
サーバタスクをためすぎることでNAIMSERVのクラッシュが起きていました。本パッチでは上記とその他の問題を修正しております。 詳細はリリースノートをご覧下さい。
権威ある DNS サーバが 53/tcp への問いあわせに答えないと、 DNS キャッシュサーバに負荷がかかる、という話。 DNS Anomalies and Their Impacts on DNS Cache Servers (NANOG) の前半にあるのは、 Antinny - www.accsjp.or.jp 話 (DDoS 食らってるからといって A レコードを削除するのはやめましょう)。 RFC3330: 特別に使用する IPv4 アドレス というものがあるんですね。TEST-NET ですか……。
自分が管理している「権威ある DNS サーバ」が 53/tcp への問いあわせにもちゃんと答えることを簡単に確認するには、どうすればよいのだろう。 長大な回答になる逆引きを 1 個用意して、それが引けるかどうかを見ればよいのかな。
…… bind 8 の dig だと +vc、bind 9 の dig だと +vc か +tcp というオプションが使えるようです。 加納さん、山本さん情報ありがとうございます。 bind 9.3.0 の dig(1) より:
- +[no]tcp
- Use [do not use] TCP when querying name servers. The default behaviour is to use UDP unless an AXFR or IXFR query is requested, in which case a TCP connection is used.
- +[no]vc
- Use [do not use] TCP when querying name servers. This alternate syntax to +[no]tcp is provided for backwards compatibility. The "vc" stands for "virtual circuit".
BIND query大量送信によるTCP SYN_SENT状態遷移時のサーバリソース消費に関する問題の分析結果 (IPA, 2004.10.22)
Internet-Draft が出たそうです:
》 平成16年度産総研国際シンポジウム いま、情報セキュリティをどう守るか！ -高信頼性社会実現に向けた情報セキュリティ技術の今後- (産総研)。2004.11.26、東京都江東区、無料 (レセプションは有料)。
》 パレスチナ少女にとどめの乱射 イスラエル兵が内部告発 (asahi.com, 10/14)、イスラエル軍「倫理上問題なし」パレスチナ少女銃殺事件 (asahi.com, 10/17)。対テロ戦争 = 少女なぶり殺し。
》 全抗うつ剤に警告表示指示 子供に自殺の恐れ、米当局 (goo / 共同, 10/16)。 UK や日本では SSRI という抗うつ剤は 18 歳未満に投与しちゃダメとしているが、USA では「安全な抗うつ剤なんてない」として、あらゆる抗うつ剤への警告表示をすることにした (SSRI を禁止はしない)、というお話のようです。 関連: 米FDA、パキシルなどの小児への使用を禁忌とせず (A Fledgling Child Psychiatrist)。
》 当局が『インディメディア』のサーバーを押収・返還 (WIRED NEWS, 10/20)。 関連:
》 ACCS裁判を追う: 元研究員「HTMLソースの改変は通常の閲覧の範囲」 (ITmedia, 10/20)。
次回公判は11月20日。弁護側は、情報学に詳しい大学教授による技術的な意見書と、コンピュータ犯罪に詳しい大学教授による法的な意見書を提示する予定。裁判長は、検察側にも次回までに法的な意見書を用意するよう要請した。
》 Googleのデスクトップ検索はプライバシーを脅かす？ (ITmedia, 10/20)
》 WPC EXPO 2004 って今日からだったんですね。台風のため 17:00 までになったそうで。 Security Solution 2004 はもとから 17:00 までのようで。さあて、私も撤収しよう。
》 ISSKK Weekly SOC Report (ISSKK)。 OpenSSL Security Advisory [30 July 2002] の攻略プログラムって、いまだに流行っているんですかねえ。
》 米Microsoft，2005年にWindows Server製品を続々アップデート (日経 IT Pro, 10/19)。ロードマップどおりに製品が出るとは限りませんが。
》 MicrosoftとCiscoが検疫ネットワークの業界標準を目指し協業 (日経 IT Pro, 10/19)。かなり先の話みたい。 関連: Microsoft，Windows Server 2003 R2へのネットワーク検疫機能搭載を見送り (日経 IT Pro, 10/19)。
》 日本 ISMS ユーザグループ のホームページができたそうで。
》 The Origins of the National Security Agency, 1940-1952 (The Memory Hole, 10/20)。
LibTIFF 3.6.1 以前に複数の欠陥。
LibTIFF 3.7.0 で修正されている。
squid 2.5 以前に欠陥。 SNMP 機能が有効な場合に、細工した SNMP リクエストにより squid が Segmentation Fault し再起動してしまう。
squid 2.5.STABLE6 用の patch が用意されている他、squid 2.5.STABLE7 で修正されている。また、squid.conf に snmp_port 0 とすることで回避できる。
fix / patch:
fix / patch:
885920 - MS04-028 Enterprise Update Scanning Tool の入手方法および Systems Management Server を使用している環境での使用方法 (Microsoft)。
Exploit-ZIP (マカフィー)。DAT4398 で対応。
この patch の適用により、副作用の発生するソフトが存在するようです。
》 「三重県立図書館、全利用者１３万人余の個人情報流出」 (asahi.com, 10/16)。
同図書館の委託でシステムの更新作業をしていたＮＥＣの子会社の社員らが無断でデータをダウンロード、自宅に持ち帰ったパソコンごとデータを盗まれたという。
うひゃあ……。ちせさん情報ありがとうございます。
》 JPNIC・JPCERT/CCセキュリティセミナー2004 〜For Advanced〜 【知っておくべき脆弱性の基礎知識】 (JPNIC) のページで、プレゼン資料が公開されていますね。
》 セキュリティホール memo BoF 2004 のページをつくりました。
》 ウラン残土撤去の自治会訴訟で最高裁が核燃の上告を棄却！ (ウラン残土訴訟を支える会, 10/15)。17 年放置をつづけた核燃って何なんだ……。
》 大飯１号の運転再開に抗議する: 関電は、余寿命がわずか４ヶ月でも配管を取り替えず配管外側に肉盛り溶接を行い、余寿命評価を不可能にしていた (美浜の会, 10/15)。 関電ってすごいなあ。
》 関西電力による経済性最優先の危険な原発運転の実態−その２ （定検日数データの追加とグラフの更新） (美浜の会, 10/18)。チェルノブイリのときは「日本の原発は 1 年のうち 3 か月も停めて念入りに点検しているから安全だ」という話を聞いた覚えがあるのですが、今では 1 か月ちょっとのツメコミ点検なんですね。 そういう状況において、今回の「死者 5 人」が発生しているわけで。
》 著作権法改正要望のパブリックコメントを提出する。 10/21 までなんですね。メール書かないとなあ。
》 Windows XP SP2に「GDI+検出ツール」を適用するとハングアップする問題 (日経 IT Pro, 10/18)。
10月13日にXP SP2用MS04-028のパッチに不具合が見つかり，同ツールも更新された（関連記事）。10月13日に再度公開されたツールの構成に不具合があった。
ツールの構成、って、具体的にはどういう問題なんだろう。
888051 - Windows XP SP2 セキュリティ更新プログラム適用時のトラブル シューティング (Microsoft) も更新が続けられて、今ではリビジョン 3.2 になってますね。
》 日本テレコムがワームの持ち込みを防ぐ“検疫”サービスを開始 (日経 IT Pro, 10/18)。
》 中村正三郎のホットコーナー の「乳の詫び状(2004/10/18)」にあやむらさん話が出ています。
》 株式会社セキュアブレイン。元シマンテックの星澤さんがつくった会社だそうです。 web はまだ準備中ですか……。
複数のアンチウイルス製品に欠陥。 .zip ファイルのヘッダ情報の検証手法に欠陥がある。 .zip ファイルの 2 つのファイルヘッダ (local ヘッダと global ヘッダ) における非圧縮時のファイルサイズ情報を、.zip アーカイブとしての機能が損なわれない (WinZip や Windows XP の圧縮フォルダがきちんと機能する) 程度に改変すると、既知のウイルスがウイルス検査をすり抜けることができるという。 iDEFENSE は、マカフィー、コンピュータアソシエイツ (CA)、Kaspersky、Sophos、Eset、RAV の製品において現象を確認した、としている。
マカフィー (CVE: CAN-2004-0932) は、DAT4398 にこの問題への対応が含まれているそうだ。最新 DAT は 4399。
CA (CVE: CAN-2004-0933) は、http://supportconnectw.ca.com/public/ca_common_docs/arclib_vuln.asp において、問題の説明と、修正プログラムの配布が行われている。
Kaspersky (CVE: CAN-2004-0934) は、3.x / 4.x は次の累積的更新で、5.x は次のメインテナンスパックで、対応されるようだ。
Eset (CVE: CAN-2004-0935) は、2004.09.16 21:00 CET に公開された archive-support module version 1.020 で対応されているそうだ。手元の NOD32 では 「アーカイブサポートバージョン 1.021 (20040917)」になっていた。
Sophos (CVE: CAN-2004-0937) および RAV (CVE: CAN-2004-0936) については情報なし、とされている。
WinZip などで展開される段階か、個別のファイルが実行される段階で、ウイルス検査にひっかかるだろうから、実害は大きくはなさそうな気はする。 また、本当に欠陥があるのは WinZip や Windows XP の圧縮フォルダ、のような気がする。
関連: 複数のウイルス対策ソフトにぜい弱性，ZIPファイルを適切にチェックできない (日経 IT Pro, 10/19)
Exploit-ZIP (マカフィー)。DAT4398 で対応。
関連か: F-Secure Security Bulletin FSC-2004-3: ZIP-files with zero size may bypass scanning。 修正プログラムがあるので適用すればよい。
》 不正アクセス事件に関する当社の対応について (ファーストサーバ, 10/15)。ファーストサーバ側の状況が、ようやく明らかにされました。
》 ＣＩＡの反乱 (tanakanews.com, 10/15)。 自滅作戦というのはにわかには信じがたいのだが、 世の中には、核戦争を待望する人びともいるしなあ。
》 ソフォス、マイケル・ジャクソンのホームムービートロイの木馬に対して警告 (Sophos, 10/14)。Hackarmy ねたが続きますねえ。 柳の下にはどじょうがうじゃうじゃいるんだろうなあ。
》 ソフトウエア等の脆弱性関連情報に関する届出状況[2004年第3四半期（7月〜9月）] (IPA, 10/18)
そのほか、16 件が、ウェブサイト運営者と連絡が取れず、取扱いができない状態 (取扱い不能) となっています。
う〜む……。
》 大長編銅鑼えもんのび太のマトリックス （キャッシュ） (妖精現実 フェアリアル)。すげぇ。 エシュロンも出てくるから、ここにリンクしてもいいよね?
》 高木浩光＠茨城県つくば市 の日記 より:
電子政府つくるは素人ばかり (10/17)。つくば市の電子申請・届出システムの話。
信頼済みサイトゾーンのセキュリティレベルは「中」でなくてはならない (10/17)。 というか、『信頼済みサイトゾーンのセキュリティレベルのデフォルト値が「中」になっていない』事こそがいちばん問題なんだろうなあ……。 というか、「中低」とか「低」ってもう消してもいいんじゃないのかな。
使ってもいない機能を意味もわからず有効にさせる人たち、 Internet Weekよ、あんたもか (10/17)。[Javaアプレットのスクリプト] は必要なのかなあ。
日経コンピュータは天然なのか病気なのか (10/16)。
そういう時代のようです。
関連記事: 警察庁、7〜9月のSYN flood攻撃について分析〜中国への攻撃が最多 (Internet Watch, 10/25)。
国別では中国からの跳ね返りパケットが73,474件で最多、続いて米国が2,267件で2位。警察庁では「この2国からのパケットは定常的に検知しており、両国に対するSYN flood攻撃が常態化している」という。 (中略) 米国からの跳ね返りパケットではオンライン賭博サイトからのものが多く、「企業恐喝にSYM flood攻撃が用いられている可能性が高い」と分析。
》 XP SP2のセキュリティを全製品のユーザーへ平等に与えるべき (日経 IT Pro, 10/14)。 つまり Windows 2000 以前、ということなのだろうが、 Windows 2000 (2000.02.18) と同時期に登場した OS というと、たとえば Red Hat Linux 6.2 なんですけどねえ。
》 ウイルスバスター コーポレートエディションサーバが使用しているデータベースのサイズ制限に関して (トレンドマイクロ)。 最大 1GB だそうです。
》 NEC、Windows XP SP2導入の問い合わせ急増で電話窓口開設 (CNET, 10/15)
》 GoogleでPC内を検索、「Google Desktop Search」をベータ公開 (MYCOM PC WEB, 10/15)。うーん、恐い。
》 医療向けの人体埋め込みチップ、FDAが認可 (ITmedia, 10/14)
》 いざ！ という時にあわてないためのウイルス対策「運用」再考 (ITmedia, 10/15)
》 そんなに来てるの？ ヤフーが迷惑メールの現状と対策を説明 (日経 IT Pro, 10/14)。そんなに来てます。
》 ソフォス、ハッカーがトロイの木馬をデビッド・ベッカムの写真に偽造と報告 (Sophos, 10/12)。「日本語」かつ「ヨン様」で来られると、日本の特定の年齢層の女性を中心にすごく流行ったりするのかなあ。
》 福島第一原発５号機を停止 配管の厚さ基準以下の可能性 (asahi.com, 10/12)
》 ７火力発電所の配管減肉 北海道、中国など４電力 (中日, 10/12)
》 露、市長も任命制に…プーチン政権が法案提出へ (読売, 10/7)
》 「防犯性能の高い建物部分の開発・普及に関する官民合同会議」の活動について (警察庁, 10/8)。 http://cp-bohan.jp/ で目録を閲覧できるようになったそうです。
》 動向●“防御”に本腰を入れるアンチウイルス・ソフト (日経 IT Pro, 10/13)
》 コトヴェール，漏洩電磁波を抑制したノート・パソコンを11月に発売 (日経 IT Pro, 10/13)。へぇ〜。
》 広島大学とマイクロソフトが提携---障害者支援や全学生へのセキュリティ教育など (日経 IT Pro, 10/13)。へぇ〜。
もう1つのセキュリティ教育に関しては，広島大学で2005年4月に「広島大学MCAトレーニングセンター」を開設する。ここでは，学生/教員向けのトレーニングを実施するほか，セキュリティ教育の研究開発も実施する。
いいですねえ、「教員向けのトレーニング」。いやほんとそう思うですよ。
》 Windows XP SP2 セキュリティ更新プログラム適用時のトラブル シューティング (Microsoft, 10/13)。中村さん情報ありがとうございます。 Windows XP SP2 で 2004 年 10 月のセキュリティ情報 を自動更新で適用中に shutdown すると 「3 個中 1 個の更新をインストール中。コンピュータの電源を切らないでください。電源は自動的に切れます。」 と言われてしまうことがある話だそうです。
本メッセージが表示された場合は、更新プログラムのインストールが完了しておりませんので、通常では更新プログラムのインストールが完了するまで、コンピュータの電源を手動で切らないことを推奨していますが、 2004 年 10 月のセキュリティ情報で自動更新より提供されたセキュリティ更新プログラムでインストールが停止しているように見える状況を確認しています。
888051 - Windows XP SP2 セキュリティ更新プログラム適用時のトラブル シューティング (Microsoft) をみてね、だそうです。
》 第10回 情報セキュリティセミナー - Advanced IT Security Seminar 2004 - 開催のご案内 (IPA)。講演テキストが公開されています。
Windows NT 4.0 / 2000 / XP / Server 2003 に欠陥。 Network Dynamic Data Exchange (NetDDE) サービスに buffer overflow する欠陥があり、remote から任意のコードの実行が可能。 ただし、NetDDE サービスはデフォルトでは動作していない。 CVE: CAN-2004-0206
修正プログラムがあるので適用すればよい。Windows NT Workstation 4.0 については、有償サポートに問いあわせること。
MS04-031 patch に副作用があるようです。
有償サポートから patch をもらえるようです。
Windows 2000 / XP / Server 2003 上の IIS 5.0 / 5.1 / 6.0 に欠陥。 特殊な WebDAV リクエストにより IIS が CPU・メモリを食いつくすため DoS 攻撃が成立。復旧には IIS の再起動が必要。 CVE: CAN-2004-0718
修正プログラムがあるので適用すればよい。 適用すると MSXML 3.0 Service Pack 5 がインストールされる。
Windows NT 4.0 SP6a / Windows NT 4.0 Server TSE 6.0 に欠陥。 RPC ランタイムライブラリに buffer overflow する欠陥があり、remote からメモリの読み取りや DoS 攻撃が可能。 CVE: CAN-2004-0569。 関連: BindView Advisory: Memory Leak and DoS in NT4 RPC server。
修正プログラムがあるので適用すればよい。Windows NT Workstation 4.0 については、有償サポートに問いあわせること。
Apache 2.0.35〜2.0.52 に欠陥。 directory あるいは location コンテキストにおいて SSLCipherSuite ディレクティブが使われており、 特定の暗号アルゴリズムを指定している場合に、 実際にはバーチャルホスト設定で許可されているあらゆる暗号アルゴリズムが許可されてしまう。 CVE: CAN-2004-0885
Apache 2.0.53 で修正される。開発版にはすでに修正が含まれている。
mod_ssl 2.8.20-1.3.31 が出ています。この欠陥が修正されています。
Apache 2.0.53 が登場した。 CHANGES_2.0
ClamAV 0.80rc4 が出ています。手元で試してみたところ、 0.75.1 では検出できない MS04-028 攻略 JPEG ファイルをきちんと検出できることを確認できました。
2004.10.13 付で MS04-028 が改訂されています。
Windows XP SP2 上の Office XP、Visio 2002、Project 2002 に対する、 改定版のセキュリティ更新プログラムが登場しています。 最初のセキュリティ更新プログラムは、うまく適用されないことがあった模様です。
具体的には、%Programfiles%\Common Files\Microsoft Shared\Office10\Mso.dll が正しくアップデートされなかったようです。 改訂版では、この問題が修正されています。 自動更新や Windows Update、 Office Update で適用できるそうです。
FAQ の「9 月に提供された Office XP のセキュリティ更新プログラムをインストールしましたが mso.dll のファイルバージョンが古いままでした。何か問題がありますか？」も参照。
MS04-028 Enterprise Update Scanning Tool が登場しています。
関連: 米MS，JPEGファイル処理のセキュリティ・ホールをチェックする企業向けツールを公開 (日経 IT Pro, 2004.10.13)
Windows 2000 用の Windows Journal Viewer 更新プログラムが登場しています。MS04-028 からダウンロードできます。自動更新や Windows Update からも適用できます。
FAQ の「Windows Journal Viewer 用の更新プログラムが 2004 年 10 月 12 日 （米国日付） にリリースされたのはなぜですか?」も参照。
関連: ACROS Security: Poisoning Cached HTTPS Documents in Internet Explorer
》 VirusScan Enterprise 7.0 サポート期間変更について (マカフィー)。 1 年短縮されました。
変更理由
最新バージョンである VirusScan Enterprise 8.0i へのアップグレードを以下の理由で促進させて頂くため
2004 年に入り、スパイウェア/アドウェアなどの不審なプログラム、ワーム、バッファオーバフローの攻撃が非常に増加しております。弊社として、お客様 PC の保護を最大化するために、機能強化されています VirusScanEnterprise 8.0i へのアップグレードを強くお勧めいたします。
手元でも入れてみないとなあ…… (まだ入れてないんかい > 俺)
》 ClamAV 0.80rc4 が出ました。手元で試してみたところ、 0.75.1 では検出できない MS04-028 攻略 JPEG ファイルをきちんと検出できることを確認できました。
》 883806: Windows XP SP2 適用後、Outlook Express で折り返し設定が有効にならない (Microsoft, 10/7)。仕様だそうで。 レジストリ設定により自動折り返しするようになるそうです。
》 UCSD says computer server hit by hackers (signonsandiego.com, 5/7)。そんなことがあったのですか。
》 Office Update したら、837253: Description of the Office XP Update: October 12, 2004 (Microsoft) なんてのが出てきましたですよ。
》 国連に選挙監視団の派遣を頼むアメリカ (tanakanews.com, 7/8)。すでに依頼して、断られていたんですね。 ykato さん情報ありがとうございます。
》 2004 年 10 月のセキュリティ情報 (Microsoft)。うひゃ〜 10 個ですか……。しかも 10 個のうち緊急が 7 個。
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 / SP2 に複数の欠陥。
CSS ヒープメモリの破損の脆弱性 - CAN-2004-0842
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 に欠陥。 CSS (Cascading Style Sheets) の処理において buffer overflow する欠陥があり、攻略 CSS により任意のコードを実行可能。
類似したメソッド名によるリダイレクトのクロスドメインの脆弱性 - CAN-2004-0727
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 に欠陥。 クロスドメイン セキュリティモデルの実装に欠陥があり、ローカルコンピュータゾーン権限で任意のスクリプトを実行可能。
MSIE Similar Method Name Redirection Cross Site/Zone Scripting Vulnerability の話だそうだ。 報告者は Windows XP SP2 で確認したとしているが、報告日 (7/11) から見て、Windows XP SP2 RC1 以前の話と思われ。
インストールエンジンの脆弱性 - CAN-2004-0216
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 に欠陥。 IE のインストールエンジン inseng.dll に buffer overflow する欠陥があり、 攻略 web ページや HTML メールによって任意のコードを実行可能。
ドラッグアンドドロップの脆弱性 - CAN-2004-0839
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 / SP2 に欠陥。 ドラッグ & ドロップ処理機構がいくつかの DHTML イベントを正確に検出しないため、攻略 web ページでクリックすると、ファイルが自動的にダウンロードされてしまう。このときダイアログは一切表示されない。
2 バイト文字セットを使用するシステムにおけるアドレスバーのなりすましの脆弱性 - CAN-2004-0844
IE 6.0 gold / SP1 に欠陥。2 バイト文字セット利用時の HTTP URL の解析に欠陥があり、 アドレスバーを詐称できてしまう。
プラグインナビゲーションアドレスバーを使用したなりすましの脆弱性 - CAN-2004-0843
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 6.0 gold / SP1 に欠陥。 プラグインからのナビゲーションを処理する方法に欠陥があり、アドレスバーを詐称できてしまう。
画像タグのスクリプトによるファイルダウンロードの脆弱性 - CAN-2004-0841
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 に欠陥。 IMG タグにおけるスクリプトの検証に欠陥があり、ファイルを自動的にダウンロードさせることが可能。このときダイアログは一切表示されない。 [Full-Disclosure] Brand New Hole: Internet Explorer: HijackClick 3 の件。
SSL キャッシュの脆弱性の脆弱性 - CAN-2004-0845
IE 5.01 SP3 / SP4 (Windows 2000 SP3 / SP4)、IE 5.5 SP2 (Windows Me)、IE 6.0 gold / SP1 に欠陥。 SSL セッションにおけるコンテンツの検証処理に欠陥があり、 非 SSL サイトにアクセスした時にキャッシュされたコンテンツが、同ドメイン名の SSL サイトにアクセスした時にも表示されてしまう。
関連: ACROS Security: Poisoning Cached HTTPS Documents in Internet Explorer
修正プログラムがあるので適用すればよい。 なお、この修正プログラムを適用すると以下の状況が発生する。
window.showHelp() コントロールは機能しない (MS03-004 以降と同様)。
username:password@example.com URL は機能しない (MS04-004 と同様)。
hrtbeat.ocx ActiveX コントロールに Kill Bit が設定される。
インターネットから showHelp メソッドで HTML ヘルプファイルを開く際に行われるセキュリティチェックが、より厳しくなった。 これにより、インターネットゾーン上の Web ページから、 ローカルコンピュータ上の HTML ヘルプファイルをナビゲートすることが禁止される。
Windows XP 上の IE におけるセキュリティ設定「ファイルのドラッグ/ドロップ、またはコピー/貼り付け」の機能が修正された。 これを「無効にする」あるいは「ダイアログを表示する」と設定した場合での、 ファイルをドラッグ / ドロップ / コピー / ペーストした場合における動作が、 Setting Up Security Zones (Windows 2000 Server Resource Kit → IE 5 Resource Kit → Part 1 → Chapter 7) に記載されているものと異なっていたが、ドキュメントと同一となるよう修正された。
ドラッグ & ドロップイベントで使用される画像要素の検証が強化された。 ドラッグ & ドロップイベントにおける要素が正しい画像でないと判断されると、その画像は拒否される。 で、詳細は KB 887437 参照……と FAQ に書いてあるのだが、887437 は Systems Management Server deployment packages are available for MS04-038 security updates for Internet Explorer 6 SP1 というものなんですが……。これ、正しい参照先なんですか? > Microsoft。
関数ポインタ用の検証が強化された。 イベントハンドラが DOM 関数を直接ポイントすると、強化された検証が実行される。887741 - Internet Explorer does not execute code when an event handler is set to directly reference a DOM function after you install the MS04-038 security update 参照。
ACROS Security: Poisoning Cached HTTPS Documents in Internet Explorer を追加。
888952 - [IC2004] MS04-038 適用後、連絡先情報でドラッグ アンド ドロップができない (Microsoft)。InterConnect 2004 で副作用が発生するそうです。
MS04-038 の 2004.11.10 付変更に対応し、heartbeat.ocx を hrtbeat.ocx に修正。
Windows 98 / 98 SE / Me / NT 4.0 / 2000 / XP (SP1 以前) / Server 2003 に複数の欠陥。
Windows 98 / 98 SE / Me / NT 4.0 / 2000 / XP (SP1 以前) に欠陥。 Windows シェルに buffer overflow する欠陥があり、攻略リンクをクリックすることにより任意のコードを実行させることが可能。
Program Group Converter の脆弱性 - CAN-2004-0572
Windows 98 / 98 SE / Me / NT 4.0 / 2000 / XP (SP1 以前) / Server 2003 に欠陥。Program Group Converter に buffer overflow する欠陥があり、.grp ファイルを利用して任意のコードを実行させることが可能。
Windows NT 4.0 Server / 2000 / XP (SP1 以前) / Server 2003 用の修正プログラムが用意されているので適用すればよい。Windows XP SP2 ではこれらの欠陥は既に修正されている。 Windows 98 / 98 SE / Me / NT 4.0 Workstation については、修正プログラムがほしければ有償サポートと相談する。
修正プログラムをインストールすると、Windows XP と Server 2003 においては、Windows XP SP2 と同様に、shell: プロトコルが無効化される。
「Program Group Converter の脆弱性」の回避策として「.grp ファイルと grpconv.exe アプリケーションの関連付けを削除するよう .inf ファイルを使用してレジストリの設定を変更する方法」が MS04-037 に記載されていたが、これは、 Windows NT 4.0 と Windows 2000 では機能しないことが判明。 「この回避策は、Windows XP、Windows XP Service Pack1 および Windows Server 2003 でのみ有効です」という注が追記された。
Windows NT 4.0 Server / 2000 Server / Server 2003 に欠陥。 NNTP コンポーネントに欠陥があり、remote から任意のコードを実行可能。 CVE: CAN-2004-0574
修正プログラムがあるので適用すればよい。 この欠陥を回避するには、port 119, 563 を遮断したり、NNTP を無効にしたりすればよい。
Exchange Server 2003、Windows XP 64-Bit Edition Version 2003 / Server 2003 に欠陥。SMTP コンポーネント (reapi.dll / smtpsvc.dll) における DNS 照会に欠陥があり、攻略 DNS レスポンスによって任意のコードの実行が可能。 CVE: CAN-2004-0840
修正プログラムがあるので適用すればよい。 なお、Windows Server 2003 上に Exchange Server 2003 をインストールした場合は、Windows Server 2003 用の修正プログラムだけをインストールする。 一方、Windows 2000 Server 上に Exchange Server 2003 をインストールした場合は、 Exchange Server 2003 用の修正プログラムをインストールする。
この欠陥を利用した攻撃を回避するには、53/tcp を遮断すればよい。
Exchange 2000 Server もこの欠陥の影響を受けることが判明。 Exchange 2000 Server SP3 用の修正プログラムが用意された。 なお、この修正プログラムを適用するには「2004 年 8 月公開の Exchange 2000 Server Service Pack 3 以降の更新プログラムの ロールアップ」が必要。
Windows XP / Server 2003 に欠陥。 Windows XP / 2003 における 圧縮 (zip 形式) フォルダの処理において、 DUNZIP32.DLL に buffer overflow する欠陥があるため、 攻略 zip ファイルによって任意のコードを実行させることが可能。 攻略 zip ファイルを添付してメールを送ったり、web ページ上に設置して閲覧させるといった攻撃が考えられる。 CVE: CAN-2004-0575
修正プログラムがあるので適用すればよい。 この欠陥を回避するには、regsvr32 /u zipfldr.dll によって圧縮 (zip 形式) フォルダ処理の登録を解除すればよい。
Office 2000 SP3 / Excel 2000 SP3 以前、Office XP SP2 / Excel 2002 SP2 以前、 Office 2001 / Excel 2001 for Mac、Office v.X / Excel v.X for Mac に欠陥。 攻略 Excel ファイルを開くと任意のコードが実行される、ような欠陥が存在する模様。 Mac OS 版 Excel にも欠陥があるので注意されたい。 攻略 Excel ファイルを添付してメールを送ったり、web ページ上に設置して閲覧させるといった攻撃が考えられる。 Office XP SP3、Office 2003 / Excel 2003、Excel 2004 for Mac にはこの欠陥はない。CVE: CAN-2004-0846
修正プログラムが存在するので適用すればよい。 Office 2000 / XP / 2003 では Office Update が利用できる。その他の場合は MS04-033 から個別の修正プログラムを入手し適用する。
Windows 98 / 98 SE / Me / NT 4.0 / 2000 / XP (SP1 以前) / Server 2003 に複数の欠陥。
「Window Management」の脆弱性- CAN-2004-0207
Windows 98 / 98 SE / Me / NT 4.0 / 2000 / XP (SP1 以前) / Server 2003 の Windows Management API に欠陥があり、local user による権限上昇が可能。
VDM （仮想 DOS マシン）の脆弱性- CAN-2004-0208
Windows NT 4.0 / 2000 / XP (SP1 以前) / Server 2003 の VDM (仮想 DOS マシン) サブシステムに欠陥があり、local user による権限上昇が可能。
関連: [Full-Disclosure] EEYE: Windows VDM #UD Local Privilege Escalation。6 か月かかったそうです。
Graphics Rendering Engine の脆弱性- CAN-2004-0209
Windows 2000 / XP (SP1 以前) / Server 2003 の Graphics Rendering Engine Windows メタファイル (WMF) および拡張メタファイル (EMF) 画像形式のレンダリング処理に欠陥があり、攻略 WMF / EMF ファイルによって任意のコードの実行が可能。 攻略 WMF / EMF ファイルを添付してメールを送ったり、web ページ上に設置して閲覧させるといった攻撃が考えられる。
JPEG 処理 (GDI+) のバッファ オーバーランにより、コードが実行される (833987) (MS04-028) に類似の攻撃が可能だと考えられるが、MS04-028 とは違い、この欠陥は 3rd party ソフトには派生しないという。
Windows カーネルの脆弱性- CAN-2004-0211
Windows Server 2003 のカーネルに欠陥があり、local user がシステムをハングさせることが可能。
Windows NT 4.0 Server / 2000 / XP (SP1 以前) / Server 2003 用の修正プログラムが用意されているので適用すればよい。Windows XP SP2 ではこれらの欠陥は既に修正されている。 Windows 98 / 98 SE / Me / NT 4.0 Workstation については、修正プログラムがほしければ有償サポートと相談する。
この patch の適用により、副作用の発生するソフトが存在するようです。
MS04-032 の副作用問題、Microsoft により対応されたようです。
888098 - Windows XP SP2 ベースのコンピュータ上の Ntvdmd.dll ファイルのバージョン番号が、Windows XP SP2 ベースの他のコンピュータまたは更新プログラム MS04-032 に含まれる Ntvdmd.dll のバージョン番号より小さい (Microsoft)。仕様だそうです。
WORM_GOLTEN.A (トレンドマイクロ)。 Graphics Rendering Engine の脆弱性- CAN-2004-0209 を利用するウイルスだそうです。
Microsoft Windows Metafile (.emf) Heap Overflow Exploit (MS04-032) (k-otik.com)。
NTT 東日本のブロードバンドルータ Web Caster X400V に欠陥。メールの添付ファイルとしてメールが添付されていると、添付されている方のメールにウイルスが存在したとしても、ウイルスチェックをすり抜けてしまうことがある模様。 更新版ファームウェアが用意されているので更新すればよい。
しかし、「機能改善」ですか……。
吉村さんから (ありがとうございます):
ISVW for UNIXの XSSですがTrendMicroに問い合わせてみた結果、以下のような 脆弱性である可能性が高いという結論に達しました。
http/ftp スキャンにおいて、ウイルス検出されたURLの表示は実際にリクエス トされたURLそのまま(エスケープ処理が無いか、不完全)であり、ファイル名や ディレクトリ名部にhtml等をそのまま挿入することが現実的に可能である
これについてはウイルスURLを表示しない、という選択肢が無いため、回避する 方法がないと思われます。
http://www.example.com/<SCRIPT />スクリプト本体</SCRIPT>/eicar.txt
とか。
＊生憎手元にISVWをインストールした環境がないのでテストできておりません
明日は Windows Update の日です。 お忘れなきよう。
》 「P2Pには責任なし」の判決不服で音楽・映画業界が上訴 (ITmedia, 10/9)
》 核燃料再処理費、埋設より割高…原子力委細かく試算 (読売, 10/7)。
原子力発電所の使用済み核燃料の処分方法について、国の原子力委員会（近藤駿介委員長）は７日、使用済み核燃料を再処理した場合としない場合の費用の試算結果をまとめ、公表した。
これってどこにあるんだろう。 内閣府 原子力委員会にはなさそうなのですが……。
》 不正アクセス禁止法 数理的理解の試み (高木浩光＠茨城県つくば市 の日記, 10/4)。
》 実は安物なのだと知らされた淑女達の自尊心は傷つくか (高木浩光＠茨城県つくば市 の日記, 10/10)。RFID ねた。
》 Latitude及びInspironシリーズ ご使用のお客様へ ACアダプタ無償交換のご案内 (DELL, 10/9)。
弊社が1998年9月から2002年2月までに販売致しましたノートブック「Latitude」 及び 「Inspiron」シリーズの一部ACアダプタにおきまして、一定の条件下で使用している場合、極めて稀ですが、ACアダプタが過熱し、その結果発火または感電する可能性があることが判明致しました。
》 眠りの深さを測定する「睡眠計」 (slashdot.jp, 10/12)。
》 不正が横行するアメリカ大統領選挙 (tanakanews.com)。 陰謀論の部分をさしひいても、すごい話だなあ。USA 大統領選挙には国連監視団が必要なんじゃないの? マジで。
[memo:7796] Fw: イーバンク銀行が導入したキーワード確認機能はフィッシング詐欺防止にならない の話。624 行あるねたメモに埋もれてた…… orz。
イーバンクは PayPal と提携しているのですか。 PayPal の Security Center には
Avoid Fake Websites
Log in safely to your account. Open a new web browser (e.g., Internet Explorer or Netscape) and type in the following: https://www.paypal.com/
と書かれていますが、一方のイーバンクは https://www.ebank.co.jp/ を提供していないようですね。
[HV-HIGH] MS Word multiple exceptions, at least one exploitable の話。 MSに連絡せずOfficeの欠陥を発表したセキュリティ会社 (日経 IT Pro, 2004.10.11) とか勘違いしている人がいるようだが、 Secunia が発見・発表したわけじゃない。 勘違いよけのためか、 Microsoft Word Document Parsing Buffer Overflow Vulnerability (Secunia) にもこんな註釈がついている:
Please note: The information, which this Secunia Advisory is based upon, comes from third party unless stated otherwise.
Secunia collects, validates, and verifies all vulnerability reports issued by security research groups, vendors, and others.
発見者自身は「MS Word 2002 (10.6612.6714) SP3 with all the latest patches」で確認した、としている。また Secunia は 「The vulnerability has been confirmed in Microsoft Word 2000, but has also been reported in Microsoft Word 2002.」としている。
Microsoft Word の脆弱性により、リモートでコードが実行される (890169) (MS05-023) で修正された。
》 違反者に罰金を科すスパイウエア規制法案、米下院で可決 (MYCOM PC WEB, 10/7)
修正案では (中略) ISPによるセキュリティ目的のモニタリング、連邦の諜報機関の情報収集などが認められた。
スパイウェアは単なるネタだったりしないのだろうか……。
》 C/C++セキュアプログラミングクックブック VOLUME 1 — 基本的な実践テクニック (オライリージャパン)
本書は原書を3分冊した最初の1冊です。VOLUME 2, 3 は、それぞれ2005年発売予定です。
どひゃ〜 3 分冊ですか……。
オライリー・ジャパン新刊・近刊情報によると、 Security Warrior (DoS こい?!) もまもなくのようで。 「実践ネットワークセキュリティ監査」というのは Network Security Assessment のことかなあ。
》 池田さん作のスクリプトにより、 セキュリティアンテナ が RSS 対応になりました。ありがとうございます。
Mac OS X 10.2.8 / 10.3.5 用のセキュリティアップデート登場 (古暮涼氏による邦訳版)。 修正されているのは:
QuickTime と ServerAdmin は 10.2.8 にも該当、残りは 10.3.5 のみ。
PHP 4.3.9 / 5.0.2 が登場。これらにおいて、次の欠陥が修正されているという。
Php RFC1867 Upload Vuln. POC Released
PHP を利用したアップロードサイトを構築している場合に欠陥が発現。 PHP スクリプトにおいて、 $_FILES の要素名にアンダースコア '_' が含まれている場合、 特殊な name 属性を設定した multipart/form-data ファイルを アップロードすることにより、これを上書きできてしまう。 これを利用すると、PHP マニュアルに記載されている除染処理を突破できてしまう。
上記リンクに含まれる、失敗する除染処理例のオリジナル版の日本語版を 第 18章ファイルアップロードの処理 (PHP マニュアル) で見ることができる。
Re: [VulnDiscuss] Php RFC1867 Upload Vuln. POC Released によると、 php_variables.c 1.45.2.7、 rfc1867.c 1.122.2.26 で修正されているそうだ。
[VulnWatch] PHP Vulnerability N. 1
php_variables.c における配列処理に欠陥があり、PHP が利用しているメモリの内容を見ることができてしまう。全ての GET, POST, COOKIES 変数が影響する。 修正個所が示されている。
》 ＵＦＪ検査忌避： 前副頭取、改ざん議事録に決裁印 (毎日, 10/09)。なんだかすごい会社だなあ。
》 中国・三峽ダム完工すれば西海は死海に (朝鮮日報, 10/10)。 中国は巨大な環境汚染源と化しているからなあ。
西海というのは黄海 (The Yellow Sea) のことですかね。 日本海呼称問題というものがありますが、 韓国や北朝鮮の人は、黄海についても「西海と書け!」という運動をしているのかなあ。 していないとバランスが取れない気がするのですが。
》 ガス田開発で日中協議開催へ (NHK, 10/10)。時間かせぎのような気がしないでもないが、交渉チャンネルは必要だろうしなあ。 日本独自の調査の方は順調なんだろうか。
》 セキュリティ・スタジアム2004。 2004.11.02〜04、東京都大田区、無料 (ですよね?)。 「開催期間中に勉強会、プレゼンテーションを企画しております」 とも書かれていますね。
》 Bruce Schneier Blog がはじまったそうで。
》 台風２２号の接近に伴う列車運行状況等のご案内 最終更新日時： 2004/10/09 21:12 (JR 東海)。新幹線、ようやく復活したようで。明日は平常ダイヤになるかな。 F1 鈴鹿 GP も予戦が明日午前に延期になってるしなあ。 フリー走行はまともに走れるような状況ではなかったようだし、 明日はドライコンディションのようだし。 どのチームもぶっつけ本番か。
鈴鹿サーキット。 ゲートはすでに開いているようです。
》 迷惑メールを減らせ - 総務省が研究会 (MYCOM PC WEB, 10/7)
》 英国にてFBIがIMCのサーバを押収 (Independent Media Center, 08 Oct 2004 17:52 GMT)、英国にてFBIがIMCのサーバを押収 !!! 各国のインディメディアがダウン (IMC Japan, 2004.10.09)。 これにより、ヨーロッパ方面の IMC がダウンしているそうです。 IMC-Japan は活動を続けています。 IMC / インディメディアについては HOTWIRED JAPAN の Matrix Vol.28: 独立系オンライン・メディアの台頭 - 画一化するマスメディア報道へのカウンター を参照。 アクビさん情報ありがとうございます。
Matrix Vol.28: 独立系オンライン・メディアの台頭 - 画一化するマスメディア報道へのカウンター (HOTWIRED JAPAN) より引用:
先日、ニューヨークのIMC-NYでラジオのワークショップをやったとき、わたしは、そこでウェブページや映像をつくっている人々の活動をつぶさに見る機会があった。それまで知らなかったが、事務所に使っているそのスペース (34 East 29th Street)は、あの『2600 Magazine The hacker Quarterly』の創設者エマニュエル・ゴールドステインの「寄附」だという。
ここも引用しておこうかな:
IMCがIPアドレスを保存しないのには、大きな理由がある。2001年4月20日〜22日、カナダのケベック市で第3回アメリカ自由貿易地域（FTAA）首脳会議が開催されたが、その期間中、FBIのエージェント2人がシアトルIMCを訪れ、過去48時間にIMCにアクセスした人々のIPアドレスの提出を求めてきた。FTAA会議に関する重要な政府文書が盗まれ、それがシアトルのウェブサイトで公開されたからだという。FTAAとは、1994年にカナダ、米国、メキシコで結成された北米自由貿易地域（NAFTA）をアメリカ大陸全域に拡大したもので、IMCではそれに反対する人達の意見をレポートしていた。(中略)
その後、2カ月後の2001年6月、ログ提出の裁判所命令は取り消された。
CUPS 1.1.21 以前 (?) に欠陥。 認証が必要なデバイスに印刷する場合に、ユーザ名とパスワードが error_log に記録されてしまう模様。 GLSA 200410-06 には「認証の必要な SMB 共有プリンタに遠隔プリントする場合に」と書かれている。 CVE: CAN-2004-0923
CUPS 1.1.22rc1 で修正されている。
Foomatic 3.0.1 以前に欠陥。 foomatic-rip に欠陥があり、remote user が lp などのプリンタスプーラユーザ権限で任意のコマンドを実行できてしまう。 Foomatic 3.0.2 で修正されている。 CVE: CAN-2004-0801
CUPS 1.1.20〜1.1.21rc1 に欠陥。 空の udp パケットを port 631 に送ると、cupsd が port 631 を listen しなくなってしまうため、DoS 攻撃が成立。 CUPS 1.1.21rc2 で修正されている。 STR #863: denial of service hole in CUPS がそれだそうだが、 Common UNIX Printing System 1.1.21rc2 (cups.org) にはなぜか掲載されていない。 CVE: CAN-2004-0558
SANS Top 20 の 2004 年版。Windows の Top 10 と UNIX の Top 10 をあわせて Top 20 です。2003 年版 とくらべると:
| Top Vulnerabilities to Windows Systems | |
|---|---|
| 2004 | 2003 |
| W1 Web Servers & Services W2 Workstation Service W3 Windows Remote Access Services W4 Microsoft SQL Server (MSSQL) W5 Windows Authentication W6 Web Browsers W7 File-Sharing Applications W8 LSAS Exposures W9 Mail Client W10 Instant Messaging |
W1 Internet Information Services (IIS) W2 Microsoft SQL Server (MSSQL) W3 Windows Authentication W4 Internet Explorer (IE) W5 Windows Remote Access Services W6 Microsoft Data Access Components (MDAC) W7 Windows Scripting Host (WSH) W8 Microsoft Outlook and Outlook Express W9 Windows Peer to Peer File Sharing (P2P) W10 Simple Network Management Protocol (SNMP) |
| Top Vulnerabilities to UNIX Systems | |
| 2004 | 2003 |
| U1 BIND Domain Name System U2 Web Server U3 Authentication U4 Version Control Systems U5 Mail Transport Service U6 Simple Network Management Protocol (SNMP) U7 Open Secure Sockets Layer (SSL) U8 Misconfiguration of Enterprise Services NIS/NFS U9 Databases U10 Kernel |
U1 BIND Domain Name System U2 Remote Procedure Calls (RPC) U3 Apache Web Server U4 General UNIX Authentication Accounts with No Passwords or Weak Passwords U5 Clear Text Services U6 Sendmail U7 Simple Network Management Protocol (SNMP) U8 Secure Shell (SSH) U9 Misconfiguration of Enterprise Services NIS/NFS U10 Open Secure Sockets Layer (SSL) |
「W10 IM」とか「U4 Version Control Systems」「U10 Kernel」が目新しいですかね。
日本語版 PDF もあるんですね。ありがたいことです。_o_
》 RFC 3865: A No Soliciting Simple Mail Transfer Protocol (SMTP) Service Extension なんてのがあるんですね。
》 “フィッシング検出機能”，効果のほどは？ (日経 IT Pro, 10/7)。各社「2005」での“フィッシング検出機能”の解説。
》 顧客情報流出 ジャパネットたかた 元社員書類送検で会見 (毎日, 10/7)
》 [aml 41309] イラク緊急・JVCが緊急救援を開始。米軍の連日の「掃討作戦」のおかげで、薬が足りないようです。 米軍も薬を持って来いよなあ。
WebSphere Application Server v4.0/v5.0/v5.1 に欠陥。 "Divide and Conquer": HTTP Response Splitting, Web Cache Poisoning Attacks, and Related Topics (sanctuminc.com) で述べられている HTTP Response Splitting 攻撃の影響を受けてしまい、クロスサイトスクリプティング攻撃や Web Cache 汚染攻撃、 結果として 悪意あるサイトへの情報漏洩などが発生するという。 匿名希望さん情報ありがとうございます。 紹介がとんでもなく遅くてごめんなさい。
patch があるので適用すればよい。patch を適用すると、HTTP Response Splitting 攻撃に対してはエラーコード 500 が返るようになるという。
SAC とは……。"Divide and Conquer": HTTP Response Splitting, Web Cache Poisoning Attacks, and Related Topics に掲載されているのは WAS だけじゃないんですけねえ。
関連:
EEYE: RealPlayer pnen3260.dll Heap Overflow。 pnen3260.dll における .rm ファイルの処理に欠陥があり、integer overflow が発生。これを利用して直接 heap を上書きできてしまうため、攻撃者は任意のコードを実行可能。
Patch available for multiple high risk vulnerabilities in RealPlayer (NGSSoftware)。 詳細は 2005.01.06 に公開する、とされている。
Handler's Diary October 6th 2004 (SANS ISC) に関連情報があります。URL の '/' を '\' や '%5C' にするとアレな状況になってしまうようです。
報告された Microsoft ASP.NET の脆弱性に関する情報 (Microsoft) が 10/8 に更新されています。
この問題を緩和する選択肢として、HTTP モジュールインストーラを使用できます。緩和策としてこのモジュールが使用できることになったのをお知らせするために、このページは 2004 年 10 月 7 日 (米国日付) に更新されました。このモジュールは、Web サーバー上の全 ASP.NET アプリケーションを、マイクロソフトが現時点で把握しているすべての正規化の問題から保護します。
CVE: CAN-2004-0815
fix / patch:
iDEFENSE Security Advisory 10.07.04: RealNetworks Helix Server Content-Length Denial of Service Vulnerability の件。 9.0.4.958 以前の Helix Universal Server 9 に欠陥。Content-Length に -1 を設定した POST リクエストによって DoS 攻撃が可能。Helix Universal Server 9.04 (9.0.4.960) で修正されている。
CVE: CAN-2004-0774
Norton AntiVirus と Sophos AntiVirus において、MS-DOS 予約デバイス名の取り扱いに欠陥がある。AUX, CON, PRN, COM1, LPT1 といった MS-DOS 予約デバイス名でウイルスを設置すると、そのウイルスに対する検査が回避されてしまう。 関連: Norton AntiVirusにセキュリティ・ホール，MS-DOSの予約語が付いたファイルをチェックしない (日経 IT Pro, 10/7)。
》 SYM04-015: Symantec Norton AntiVirus： MS-DOS 予約デバイス名の処理方法に関する問題と対応 (シマンテック, 2004.10.05)
iDEFENSE Security Advisory 10.05.04b: Symantec Norton AntiVirus Reserved Device Name Handling Vulnerability の件。 Norton AntiVirus 2003 / 2004 / 2005 にこの欠陥があり、2004 については LiveUpdate を経由して修正プログラムが配布されているという。 2003 / 2005 については修正プログラムはまだない。
CVE: CAN-2004-0920
》 勧告：予約デバイス名処理にあった脆弱性の修正 (Sophos, 2004.10.04)
iDEFENSE Security Advisory 09.22.04 - Sophos Small Business Suite Reserved Device Name Handling Vulnerability の件。 ここで名前が挙がっているのは Sophos Small Business Suite だが、この欠陥は Sophos Anti-Virus for Windows NT/2000/XP/2003 一般に存在し、 最新の 3.86 版で修正されているそうだ。
CVE: CAN-2004-0552
》 ftp.st.ryukoku.ac.jp で、anonymous FTP パスワード「interscan@domain.com」を蹴るようにしてみるテスト。
》 消えないわ！…頼りにならない輸入スプレー消火器 (読売, 10/7)。元ネタ:
国民生活センターの記事は PDF が本文なので注意。
読売記事だと「国産なら安心」と思い込んでしまいかねないが、国民生活センターのテスト結果は、必ずしもそう言っているわけではない。 消化材の種類 (液体 / 粉末) による消化対象の得手不得手も報告されているし、 「炭酸ガスが抜けてしまっている不良品が多い銘柄があった」「ボタンが固く長時間放射を続けにくい銘柄や、安全装置の解除に手間取った銘柄、表示の見にくい銘柄があった」などとも書かれている。 最終ページにテスト結果一覧があるので見ておこう。
とは言うものの、リストされた輸入品は、いろんな意味で「論外」のようだ。
》 JPCERT/CC REPORT 2004-10-06 (JPCERT/CC, 10/6)。JVN ねたも載るようになったようです。
》 同僚の自殺で悩んだら第三者に思いを伝える (日経 IT Pro, 10/6)
》 「私もやられた」ゲイツ氏がスパイウエア対策ソフトの開発を明かす (日経 IT Pro, 10/6)。とりあえず、ものが出てこないことにはねえ。
oyak さんから (ありがとうございます):
http://www.rd-style.com/support/info/security/security.htm をよんでみると・・・さて、弊社製ＨＤＤ＆ＤＶＤビデオレコーダー（対象製品は下記をご参照ください。）におきまして『ネットdeナビ』機能をお使いの場合に、悪意の第三者によってお客様が知らないうちに当該製品から大量のスパム（無意味な電子データ）が発信されてしまった事例の報告がありました。
ということで、いかにもセキュリティ機能をonにしていれば、大丈夫的な記述に読めてしまい、旧バージョンだとセキュリティ機能をonにしていても問題だということを東芝は明記してくれていません。
調査の結果、外部ネットワークとの接続を行っている（下記 1. (2) をご参照ください。）お客様が、常時（長時間）接続されて、ネットワーク設定のセキュリティ機能を利用されていない場合に発生することがわかりました。
対応部分に関しては、バージョンアップ＆セキュリティ設定onにしろということで、問題ないのですが、この書き方だと、バージョンアップをしない人もいるかもしれないですね。
藤村さんから (ありがとうございます):
東芝のアナウンスやインプレスの記事についても、認証設定のことだけが大きく採り上げられているように読み取れます。
問題は認証バイパスできてしまうことですので、この点（ファームウェアアップグレードが最優先）を注意されるとよいかと思います。
そう言われて 東芝、HDD搭載DVDレコーダ「RD」シリーズが“踏み台”になる危険性 〜セキュリティ設定「あり」に変更を呼びかけ (Internet Watch, 10/6) を見ると、
東芝は対策として、ソフトを最新版にバージョンアップすることとセキュリティ設定を「あり」に変更することを呼びかけている。セキュリティ設定を「あり」にすることで、外部からアクセスする際にユーザー名とパスワードの入力が必要になり、不正アクセスを防げるようになる。
とあり、「ソフトを最新版にバージョンアップ」しないと、セキュリティ設定を「あり」にしても無意味な模様であることは強調されてはいませんね。
InterScan VirusWall for UNIX 3.8 SP1 / 3.81 に、クロスサイトスクリプティング欠陥が存在した模様。"patch1" で修正されている。 InterScan VirusWall for UNIX 3.8 Patch 1 Readme によると、この他にもこんな文章が:
1. 本リリースには、セキュリティの脆弱性を修正する最新のOpenSSLとLibSSLライブ
ラリのリリースが含まれます。
(中略)
3. 次のパラメータの値が「intscan.ini」ファイルに設定されている場合に、
InterScan VirusWall FTPサービス経由で送信されるデータが破損する問題
を修正します。
- putmode=thru
- trickle=yes
4. InterScan VirusWallが、拡張子「.vbs」のファイルをブロックできない問題を
修正します。
(中略)
13. File Type Block機能でOther typesフィールドに拡張子vbsを指定した場合に、
HTML部分が削除されてしまう問題を修正します。
14. File Type Block機能でOther typesフィールドに拡張子pifを指定した場合に、
pifファイルをブロックできない問題を修正します。
13. については以前ちいちゃんさんから情報を頂いていた (ありがとうございます) のだが、「サポート情報が出たら載せよう」と思って待っているうちに忘れてました _o_。結局サポート情報が出ないまま patch1 で修正されたみたい。
吉村さんから (ありがとうございます):
ISVW for UNIXの XSSですがTrendMicroに問い合わせてみた結果、以下のような 脆弱性である可能性が高いという結論に達しました。
http/ftp スキャンにおいて、ウイルス検出されたURLの表示は実際にリクエス トされたURLそのまま(エスケープ処理が無いか、不完全)であり、ファイル名や ディレクトリ名部にhtml等をそのまま挿入することが現実的に可能である
これについてはウイルスURLを表示しない、という選択肢が無いため、回避する 方法がないと思われます。
http://www.example.com/<SCRIPT />スクリプト本体</SCRIPT>/eicar.txt
とか。
＊生憎手元にISVWをインストールした環境がないのでテストできておりません
》 ネット上の人権侵害、法務省の削除依頼をルール化 (asahi.com, 10/6)。 プロバイダ責任制限法関連情報Webサイト には、10/7 00:40 現在、改訂版は掲載されていないようですが……。 プロバイダ責任制限法 名誉毀損・プライバシー関係ガイドライン」の一部改訂に係る意見募集について -法務省人権擁護機関からの情報削除要請対応プロセスの明確化- で改訂案は読めるのですが。
》 米の核兵器解体、高濃度プルトニウムが仏到着 (読売, 10/6)。 Weapons Grade Plutonium Shipped to France (cryptome, 9/23) の件ですね。
》 PDF 小冊子「パソコンの安全対策」 (Microsoft)。 XP SP2 CD-ROM付属小冊子の電子書籍版が無償公開「できるパソコンの安全対策」 (窓の杜) はアプリだけど、こちらは PDF。
》 エージェントレスを実現したアクセスログ収集システム (Enterprise Watch, 10/5)。 BindView bv-Control (SSE) ですか。 OS 標準の監査機能、WMI などの OS 標準監視機能を使って情報を収集するからエージェント不要〜、とかいう意味なんだろうか。
》 IRAQ BODY COUNT、 ついに Min. も 13,000 を越えています。 USA の中の人はどこまで増やすつもりなんでしょう。
》 SECURE SYSTEM Training Tour 2004 。 "Windows XP Service Pack 2 for IT Professional" が登場しています。 ID が必要ですが、IT Pro #1 / #2 のころの ID とは別みたいです。 ドメイン名も event-info.jp から event-registration.jp に変わってるみたいだし。
……登録したら UTF-8 でメールがきたよ。ポイントは半角カナなのかな……。
》 Explorerを別のユーザーとして実行する (@IT)。更新版が登場しています。
》 Windows XPスマートチューニング 第139回: 問い合わせたDNSサーバ以外からの応答を受け取らない (MYCOM PC WEB, 10/6)。 Vulnerability Note VU#458659: Microsoft Windows domain name resolver service accepts responses from non-queried DNS servers by default の話。 XP SP1 以降なら効くんでしたっけ? (昔、偉い人に同じ質問をしたような記憶があるような、ないような)
》 セキュリティキャンプ終わって……その苦労と課題を中心人物の一人が語る (MYCOM PC WEB, 10/5)
》 バッファオーバーフローは乗り越えられるか？ JPNIC／JPCERT/CCセミナー (ITmedia, 10/6)、 GDI+の脆弱性実証コード、そのままでは日本語版での悪用は困難？ (ITmedia, 10/5)。
》 日立製作所、住基カード3万枚を交換〜非接触通信機能に不具合 (Internet Watch, 10/6)。
》 ハードディスクレコーダーからのコメントスパム攻撃 なのですが、
さっきからぐぐってみているのですが、「RD-xx 様、ウチにも来てました〜」のような報告は、意外にないみたいです。ぐぐり方が悪いだけかもしれないけど。
RD シリーズが proxy として動作する事自身は、秘密でもなんでもない、有名な話だったんですね。
東芝、HDD搭載DVDレコーダ「RD」シリーズが“踏み台”になる危険性 (Internet Watch, 10/6)
東芝ではセキュリティ設定について、「従来機種では初期状態で無効になっていたが、今後発売する機種に関しては、有効以外に設定できないように変更する」としている。
予算がらみの作業のおかげでぜんぜん時間が取れないですよ……。
何の話なのかよくわかりませんが、ASP.NET を利用している場合には、 887459 - ASP.NET の正規化の問題をプログラムによって確認する方法 (Microsoft) にある
Application_BeginRequest イベント ハンドラを Global.asax ファイルに追加
を実行しないとたいへんなことになる恐れがあるのでしょう。
Handler's Diary October 6th 2004 (SANS ISC) に関連情報があります。URL の '/' を '\' や '%5C' にするとアレな状況になってしまうようです。
報告された Microsoft ASP.NET の脆弱性に関する情報 (Microsoft) が 10/8 に更新されています。
この問題を緩和する選択肢として、HTTP モジュールインストーラを使用できます。緩和策としてこのモジュールが使用できることになったのをお知らせするために、このページは 2004 年 10 月 7 日 (米国日付) に更新されました。このモジュールは、Web サーバー上の全 ASP.NET アプリケーションを、マイクロソフトが現時点で把握しているすべての正規化の問題から保護します。
GDI+の脆弱性実証コード、そのままでは日本語版での悪用は困難？ (ITmedia, 10/5)。逆に言うと、penetration technique research site に PoC JPEG ファイルがあるように、「日本語版専用のコード」があれば動くわけで。苺キ●タマなんてものが流行ったことも考えあわせると、甘く見ない方がいいだろう。
GDI+ を利用している製品のセキュリティ対策方法についてよく寄せられる質問 (FAQ) (Microsoft, 9/15)。こんなページがあったとは。 MSDN Online Japan (Microsoft) は watch しておく必要があるようだ。くぅ。アンテナに入れました。
ウイルスバスター2004: JPEG処理の脆弱性（MS04-028）を利用したウイルスには対応していますか (トレンドマイクロ)。デフォルトでは、オンアクセススキャナが反応しないようです。
》 ICタグ 35の疑問 (日経コンピュータ 2004.10.04)。本誌から:
6. 他人に持ち物が見られてしまう?
(中略) そもそも、赤の他人に近づいてカバンに入っている持ち物のバイナリ・データをこっそりと読み、その意味を解釈するのにわざわざハッキングなどの手間をかける人間が本当に存在するのかどうか疑問が残る。
日経コンピュータには「ストーカー」という概念は存在しない模様。
21. 半永久的に使えるってホント?
(中略) 内田洋行の山崎榮三郎ユビキタス事業部部長は「データを読み書きしてチップに通電させてから 10 年はもつ」と答える。
たった 10 年?!
》 CCCDやWinnyなどコンテンツの保護や流通のあり方について東大でセミナー (Internet Watch, 10/4)
》 コナレＡＵ委員長講演会「アフリカ連合（AU）と日本 −市民社会への期待−」 (アフリカ日本協議会)。2004.10.16 (土)、龍谷大学深草学舎 (京都府京都市)、無料 (要申込)。
》 [Snort-users-jp:01330] 日本Snortユーザ会第二回Snortセミナー in 沖縄 開催のお知らせ。 2004.10.23 (土)、沖繩大学、一般3,000円。 (typo fixed: 稲葉さん感謝)
》 パッチ管理ツール「HFNetChkPro4」レビュー (日経 IT Pro, 10/4)。
》 XP SP2 CD-ROM付属小冊子の電子書籍版が無償公開「できるパソコンの安全対策」 (窓の杜, 10/4)。「12月27日までの期間限定」だそうです。
》 ＮＹタイムズ、開戦前の情報操作を検証 (読売, 10/4)
》 「民間衛星も攻撃」——米軍の宇宙軍事戦略 (WIRED NEWS, 10/4)。さすがはテロ国家。
》 Internet Week 2004 の受付がはじまっています。
》 動向●システムの時刻合わせがネット要らずに (日経 IT Pro, 9/29)。誤解を招くタイトルの記事だなあ。 NTP アプライアンスものをつかえば外部の NTP source は不要、という話です。
GPS を使う場合は、あたりまえですが「GPS からの電波を受信できる」ことが必須条件になるので注意しましょう。
》 【続報】ケータイ向け燃料電池を発表したドコモ，カートリッジを外したらメタノールが漏れた (2004/09/30) (日経 IT Pro) ですが、洩れたのは目散るアルコールじゃなくて「発電時に発生した水」でした、だそうです。庄司さん情報ありがとうございます。
IP fragment を利用した DoS 攻撃「Rose Attack」 と、その改変である「New Dawn Attack」の解説、および Windows / Linux でのテスト結果。 サンプルコードあり。Rose Attack が fragment の最初と最後を送るのに対し、New Dawn Attack は fragment の最初と真ん中と最後を送り、最後についてはずーっと送りつづけるみたい。
FreeBSD 5.x に欠陥。syscons CONS_SCRSHOT ioctl(2) の入力引数の検証が不十分なため、CONS_SCRSHOT ioctl が kernel メモリの一部を返してしまう場合がある。 回避方法はない。最新の RELENG_5_2 ブランチでは修正されており、5.2-RELEASE 用の patch も用意されている。
浅見さんから (ありがとうございます):
東芝のRDシリーズの公式サイトに、
＜重要なお知らせ：セキュリティ設定のお願い＞
http://www.rd-style.com/support/info/security/security.htm
という情報が掲載されていましたのでお知らせします。
レコーダ本体のバージョンが古いと、本体セキュリティの設定がONでも匿名proxyとして動作するのでバージョンアップせよ、ということみたいです。
ちなみに、私が所有しているのは"RD-X4"に機能拡張キットを適応した"RD-X4EX" ですの で、すでに本体セキュリティ設定をONにしておけば、Proxy動作をするときでもBASIC認証ダイアログがでました。
重要なお知らせ：セキュリティー設定のお願い (rd-style.com) によると、対象となるのは RD-XS40, RD-X3, RD-XS31, RD-XS41, RD-XS41KJ-CH869, RD-X4, RD-X4EX, RD-XS43, RD-XS53, RD-XS34 (10/5 現在) だそうです。
》 RSS って こんなの でいいんですかね。手づくり RSS 生成器なのでちょっと不安。 いちおう、mozilla が文句言わなくなる程度にはなっています。
……梶原さんに Feed Validator for Atom and RSS (feedvalidator.org) を教えていただきました (ありがとうございます)。 valid になるよう修正しました。
》 《 ESPIO! 》ロシア大使館からの使者。 チェチェンニュース にある「10.02.01:00 金色の雲は宿った上映大成功！ 」の話。
《 ESPIO! 》警視庁の「杜撰」捜査が発覚 も、なかなかにうすら寒いものがあります。
》 RFC 3882: Configuring BGP to Block Denial-of-Service Attacks が出ています。
》 今週のイベントもろもろについて (裏AnchorDesk, 9/11)。そうだったのか。
》 顧客情報流出 ジャパネットたかた元社員2人、背任容疑で書類送検へ (毎日, 10/1)
》 電子投票トラブル 岐阜県可児市議選トラブル 無効を求めて提訴 (毎日, 10/1)。この手の訴訟増えるかなあ。
》 ウイルスバスター2004: 「JWORD」と「ウイルスバスター2004」の併用について (トレンドマイクロ)。
》 個人情報保護法…いま何をなすべきか？ (関西オープンソース 2004)。 2004.10.22、大阪市中央区、一般3,000円 / 学生1,000円。太田さん情報ありがとうございます。
素典先生の spam 対策としての発信者認証技術の標準化動向とその実際 (2004.10.23) も興味深そうだなあ。
》 車の自賠責保険情報６７３人分流出 修理工場のＰＣ盗難 (asahi.com, 9/29)。 元ネタ: 弊社代理店の個人情報入りパソコンの盗難について (三井住友海上, 9/29)。山崎さん情報ありがとうございます。
》 ローソンで電話料金の払込通知票など約2,500件の個人情報書類が盗難に (Internet Watch, 10/1)。
Samba 2.2.11 以前 / 3.0.5 以前に欠陥。remote から、共有領域の外部に存在するファイルにアクセスできる可能性がある。 欠陥を回避するには wide links = no を設定すればよい。
Samba 2.2.12 / 3.0.6 で fix されている。また Samba 3.0.5 用の patch が配布されている。 http://us1.samba.org/samba/ftp/patches/security/ には Samba 2.2.11 と 2.2.12 の diff も設置されている。
CVE: CAN-2004-0815
[GLSA 200410-01 ] sharutils: Buffer overflows in shar.c and unshar.c によると、unshar.c にも欠陥があった模様。
セキュリティフライデーの関さんから (ありがとうございます):
”Windows XPに「勝手にパスワード情報を送信する危険性」が見つかる”に関してですが、一つ補足させていただきますと、NTLMv1でも単純でない１５文字以上のパスワードを使えばそれなりに安全だと思います。
Norton Internet Security 2003、Norton AntiVirus 2003 Professional などに含まれる "Network Dispatch Driver" SYMTDI.sys に欠陥があるという指摘。 複数 CPU を塔載した、あるいは Intel Hyper Threading が有効な状態において、 大量の socket (and 大容量のデータ転送?) を扱うようなプログラムを動かすと、OS がクラッシュしてしまうという。このため、local user が DoS 攻撃を実施できる。シングル CPU ではこの欠陥は発現しないという。
Norton 2004 / 2005 シリーズではどうなのか、は不明。 手元の Norton AntiVirus 2004 には 5.3.2.67 というバージョンが入っていた。
Firefox Preview Release に欠陥。ダウンロードディレクトリ内のファイルを削除してしまうような、ダウンロードリンクを設置することが可能。 Firefox Preview Release update (0.10.1) で修正されている。 関連:
》 ウイルスバスター2004 インターネット セキュリティ プログラムバージョン 11.40 公開のお知らせ (トレンドマイクロ, 9/27)。昨日公開されたんですね。 Windows XP SP2 (Windows セキュリティセンター) 対応など。
》 小倉秀夫の「IT法のTop Front」 (goo blog / Hotwired) と 佐々木俊尚の「ITジャーナル」 (goo blog / Hotwired) がはじまっています。 w3m でアクセスすると「Accept bad cookie from blog.goo.ne.jp for .blog.goo.ne.jp? (y/n)」と質問されるけどね。
》 Windows XP SP2を収録した無償CD-ROM、全国の郵便局で配布開始 (Internet Watch, 10/01)。
》 【続報】ケータイ向け燃料電池を発表したドコモ，カートリッジを外したらメタノールが漏れた (2004/09/30) (日経 NE)。目散るアルコールが洩れましたか。
元ネタ: Automatically passing NTLM authentication credentials on Windows XP (セキュリティフライデー)。 Windows 2000 / IIS 5.0 で構築した web ページに Word ドキュメントを設置 (例: http://www.example.com/test/foo.doc) し、 Office 2000 / XP をインストールした Windows XP から http://www.example.com/test/foo.doc を開き、そして閉じると、 Windows XP はなぜか \\www.example.com\test への SMB 接続を行おうとし、そのとき NTLM 認証が行われてしまうという話。
クライアント側で「WebClient」サービスを停止するとこの現象を回避できるそうだ。
"Windows XP Service Pack 2 セキュリティ強化機能搭載" での機能の変更点 第 2 部 : ネットワーク保護技術 の WebDAV リダイレクタ が関連なのかな (これは WebDAV 側から書かれているわけだけど……もっと適切な資料どこかにないかな)。Windows XP の仕様的には WebDAV と SMB は統合されており、NTLM は暗号化されていることになっているから SMB アクセス時に洩れても ok ok、というのが設計思想なのかな。でも実際には NTLMv1 はもうだめだめなわけで (参照: Windows認証を数秒で解析 脆弱なパスワードは即座に破られる (日経 IT Pro, 6/1))。
なんかこう、Windows の「なんでもやってくれすぎ主義」の弊害がまたもや発生している、という気が。個人的には、WebDAV を勝手に SMB に翻訳したり、SMB を勝手に WebDAV に翻訳したりしてほしくはないのだが。
セキュリティフライデーの関さんから (ありがとうございます):
”Windows XPに「勝手にパスワード情報を送信する危険性」が見つかる”に関してですが、一つ補足させていただきますと、NTLMv1でも単純でない１５文字以上のパスワードを使えばそれなりに安全だと思います。
JPEG処理の脆弱性悪用画像、今度はAIMのプロフィールに (ITmedia, 9/30)。
InterScan VirusWall NT: JPEG処理のバッファオーバーランに関する脆弱性(MS04-028)の悪用に備えたセキュリティ対策方法 (トレンドマイクロ)。
penetration technique research site で「MS04-028 の Windows XP SP1 日本語環境用検証ファイル」が公開されています。手元の Windows XP SP1 (MS04-028 patch なし) で動作を確認できました。
まだまだ NT 4.0 and/or Windows 98 というところも多いのかなあ。
GNU sharutils 4.2.1 に format バグがあるという指摘。PoC コードつき。 GNU sharutils 4.3.77 で「src/shar.c(shar): fix fscanf buffer overrun vulnerability」として修正されているようだ。 手元で試した限りでは、sharutils-4.3.76-4.3.77.diff.gz に含まれる src/shar.c の差分は GNU sharutils 4.2.1 にそのまま適用できた。
[GLSA 200410-01 ] sharutils: Buffer overflows in shar.c and unshar.c によると、unshar.c にも欠陥があった模様。
![[セキュリティホール memo]](/%7Ekjm/security/memo/sechole-memo.gif){kind=small}
私について