セキュリティホール memo - 2000.05

　Open Door ってどこかで聞いたことあるような、と思ったら ShareWay IP つくってる会社なのね。 ふぅん、(パーソナル) ファイアウォールもやってたのか。 いまどきの MacOS にはサーバ機能もあるからなあ。

　2000.05.06 の VBS.LoveLetter.A に追記した。 関連記事を追記。

　XFree86 3.3.5/3.3.6/4.0 に弱点。 X サーバが動いている機械の port 6000 TCP に壊れたデータを送ることで、 X サーバが CPU を 100% 使ってしまいフリーズ状態になり DoS 攻撃が成立。 このフリーズは永遠に続くわけではないが、無視できるわけでもない。 -nolisten tcp オプション (see also: Xserver(1)) を使うことで回避できる。 いまどきの PC UNIX にはパケットフィルタがついているので、これを使うことも検討されたい。

2000.06.11 追記: XFree86 4.0 用の patch が投稿されていた。

　RFP 氏による IDS の弱点 2 つ。 1 こは既報だけど 2 こめと関連があるので……。

• RFP2K04: Remote command execution on BlackICE ICECap stations
  (Fri, 19 May 2000 04:17:47 +0900)

  sfn42 の NetworkICE ICECap Manager Default Vulnerability の件。 BlackICE IDS の管理コンソール ICECap がいる port 8081 と警告に使う port 8082 があるが、デフォルトログインユーザ iceman にはデフォルトではパスワードがついてないので、port 8081 から logon し、port 8082 から偽の警告を出せてしまう。

  また、BlackICE は Jet 3.5 を使っているので、Jet バグを使った攻撃が可能。 Jet ものについては 2000.02.03 の セキュリティ勧告 - NTサーバ上におけるJetセキュリティ問題も参照。

• RFP2K05: Remote denial of service in Axent NetProwler
  (Sat, 20 May 2000 03:05:32 +0900)

  Axent NetProwler 3.0 IDS に対して DoS 攻撃を行なえるという指摘。 NetProwler も Jet を使っているので RFP2K04 も見てね、だそうだ。

　有効な (D)DoS 対策のひとつ。 RFC2267 の改訂。BCP (Best Current Practice) 38。

2000.06.01 追記: IPA 宮川さんによる日本語版が http://www.ipa.go.jp/security/rfc/RFC2827JA.html にある。 http://www.ipa.go.jp/security/rfc/RFC.html にはこの他にもセキュリティ関連 RFC の日本語版が並んでいる。 こがさん情報ありがとうございます。

　2000.05.06 の VBS.LoveLetter.A に追記した。 謎メールはスペイン語。

　1999.11.10 の MS99-047: Patch Available for "Malformed Spooler Request" Vulnerability に追記した。 ようやっと日本語 NT 4.0 SP4 以上用 patch が出た。

　NetBSD の Security Advisory が 4 つでてます。

• NetBSD-SA2000-003: xlockmore package vulnerability.

  2000.05.01 の xlockmore 4.16.1 buffer overflow fix ですね。

• NetBSD-SA2000-004: semcontrol(2) vulnerability.

  2000.05.29 の FreeBSD-SA-00:19 ローカルユーザがすべてのプロセスの終了を阻止できる の話。NetBSD では、影響は小さい。

• NetBSD-SA2000-005: local cpu-hog denial of service.

  いくつかのシステムコールを利用することによって local DoS が実行できていたのを止める patch ができたというおしらせ。 NetBSD 1.4, 1.4.1, 1.4.2 用 patch は ftp://ftp.NetBSD.ORG/pub/NetBSD/misc/security/patches/20000527-yield から。NetBSD-current は 20000420 以降にこれが含まれている。

• NetBSD-SA2000-006: ftpd error parsing /etc/ftpchroot.

  NetBSD 1.4.2 および NetBSD-current 19990930〜19991212 の /etc/ftpusers および /etc/ftpchroot の処理方法に問題 (特に後者)。/etc/ftpchroot にユーザ名を記述しても chroot した環境で処理されず、home directory 外へのアクセスが可能になっていた。

  ftp://ftp.NetBSD.ORG/pub/NetBSD/misc/security/patches/20000527-ftpd から NetBSD 1.4.2 用の fix が入手できる。

　2000.05.29 の FreeBSD-SA-00:19 ローカルユーザがすべてのプロセスの終了を阻止できる に追記した。 NetBSD/OpenBSD では semaphore を使っているプロセスのみに影響、のようだ。

　qpopper 2.53 以前に弱点。 login に成功したユーザが EUIDL コマンドを使って guid mail の shell を獲得することが可能となる。 3.0.2 においてはこの問題はないので、2.53 以前のユーザは 3.0.2 に移行しよう。

　UNIX で広く利用されているパケットフィルタソフト IP Filter 3.3.15 以前の 3.3.x および 3.4.3 以前の 3.4.x に弱点。

      block return-rst in proto tcp from A to V
      pass out proto tcp from V' to A' keep state

のように return-rst 指定と keep state 指定が重なった場合に、 A および A' に含まれる攻撃者ホストからの SYN パケットが firewall を通過してしまい、攻撃者ホストから攻撃対象ホストへのコネクションが成立してしまう場合があるという (という理解でいいのかな? いま 3 つほどよくわからん……)。

　対応としては次のようになる:

• 3.3.16 もしくは 3.4.4 以降に upgrade する。

• 指摘文書に添付されている patch を適用する。 FreeBSD 3-stable, FreeBSD 4-stable, FreeBSD-current, NetBSD-current, OpenBSD 2.7-current に適用可能だそうだ。

• return-rst ルールを全て削除する。

• keep state ルールに match するもの全てについて、以下を追加する。

          pass out quick proto tcp ... flags R/R
          pass out proto tcp ... flags AR/A keep state
          pass out proto tcp ... flags S keep state

　これについて、OpenBSD 2.6 errata (#023) と OpenBSD 2.7 errata (#001) が出ている。

　2000-04-30 以前の FreeBSD kernel を含む、NetBSD, OpenBSD など BSD 由来の kernel に弱点。 System V IPC 実装において、とあるドキュメントされていないシステムコール (semconfig) が、 アクセス制御なしに kernel 外部からアクセス可能になっていた。 この弱点を利用すると、local user (でいいのかな?) はシステム上の全ての全てのプロセスに対して、終了できなくなるよう設定することが可能になる。

　Advisory 英語版オリジナルはこちら: FreeBSD-SA-00:19 local users can prevent all processes from exiting。

　対策としては、2000-05-01 以降の FreeBSD 2.1.7.1-STABLE, 2.2.8-STABLE, 3.4-STABLE, 4.0-STABLE, 5.0-CURRENT のいづれかに移行する。 あるいは、3.4-RELEASE, 3.4-STABLE, 4.0-RELEASE, 4.0-STABLE のユーザであれば、添付されている対策 patch を適用する。

　OpenBSD については、2.6 errata に情報が出ている。また、2.7 においては fix 済だとフォローされている。

2000.05.29 追記: NetBSD では NetBSD Security Advisory 2000-004: SysV semaphore denial-of-service だ。ここでは注記として

Note: FreeBSD-SA-00:19 describes a similar, but significantly more severe problem affecting FreeBSD, and notes that NetBSD is also affected. The impact of the problem on NetBSD is much less, because NetBSD's semaphore implementation was fixed (in 1994) so that only semaphore-using processes would be blocked at exit time.

となっている。 また、OpenBSD においても Processes not using semaphores are not affected, so the actual effect is very minimal となっている。 重大な問題 (全てのプロセスに影響) となるのは FreeBSD においてのみで、NetBSD/OpenBSD では semaphore を使っているプロセスのみに影響、のようだ。 前野さん情報ありがとうございます。

　2000.05.19 の BUFFER OVERRUN VULNERABILITIES IN KERBEROS に追記した。 FreeBSD から Advisory が出ている。

　2000.05.17 の ALERT: Bypassing Warnings For Invalid SSL Certificates In Netscape Navigator (CERT Advisory CA-2000-05) に続いて、またもや Netscape Communicator の SSL に弱点。 ユーザがある site に接続した際、 Netscape は certificate name と site name との比較に失敗すると警告を表示するが、 ユーザがこれを無視してさらに接続を進めてしまうと、 以後 Netscape は、他の site との接続において certificate name と site name との比較に失敗しても警告せずに接続を完了してしまう、という。 この弱点を利用すると、DNS 書きかえを組みあわせることにより、 攻撃者は SSL 暗号化通信で守られているはずのクレジットカード番号などを他の server に転送させることができてしまう。

　4.73 以前の Netscape Communicator/Navigator にはこの弱点がある。 やっと 日本語 Windows 9x/NT 4.0 用の Netscape Communicator 4.73が出たけど、すでにゴミ同然。いやはや。

　対応策としては、Netscape Communicator/Navigator 4.7x に移行した上で、 Netscape Communicator 4.7x と共に Netscape Personal Security Manager 1.1 を利用する。 ただし、PSM 1.1 は Windows 9x/NT 4.0, Solaris 2.51/2.6/7, Linux 2.2.5/glibc 2.1.2 でしか使えず、他のプラットホームについては現状対応策がない。 FreeBSD などには Linux エミュレーションという機能があるが、 これでうまく動くかどうかは、私は確認していない。

　発見者による詳細情報: new vulnerability in Netscape effectively disables SSL server auth。

　SecurityFocus.com Newsletter 第 42 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 ここで紹介してなかったのは以下……だと思うけど、数がおおくて自信ないな。

• Matt Wright FormMail Environmental Var. Discl. Vulnerability

• Zedz Consultants ssh-1.2.27-8i.src.rpm Vulnerability

• Allaire ColdFusion 4.5.1 Cached File Request DoS Vulnerability

• Microsoft Outlook 98 / Express Long Filename Vulnerability

  Outlook 98 と Outlook Express 4.x のバグの話。 結局 MS998-008 で告知および fix が出ている件だと認識していいのかな? IE 4.01 SP2 の Outlook Express では最初から fix されていると認識していいのかな?

• NTMail Server 5.x Proxy Access Vulnerability

• Microsoft Windows 2000 Default SYSKEY Configuration Vulnerability

  これってずいぶん昔に言われて、MS も web page に (穴じゃないという) 情報を載せていた、この話とは違う話?

• Bugzilla 2.8 Unchecked Existing Bug Report Vulnerability

• Solaris netpr Buffer Overflow Vulnerability

• Netscape Communicator /tmp Symlink Vulnerability

• George Burgyan CGI Counter Input Validation Vulnerability

• Seattle Lab Emurl 2.0 Email Account Access Vulnerability

• Microsoft SQL Server Xp_sprintf buffer overflow

• Microsoft FrontPage Extensions file permissions Vulnerability

  FrontPage Extensnions for unix の話なので注意。 FrontPage 関連というと、Problem with FrontPage on Cobalt RaQ2/RaQ3 と、これの fix である Cobalt Networks - Security Advisory - Frontpage も参照。

• KDE kscd SHELL Environmental Variable Vulnerability

• AntiSniff DNS Overflow Vulnerability

• Qualcomm Eudora Pro Long Filename Attachment Vulnerability

  EudoraPro 4.2, 4.3, 4.3.1, Eudora Light 3.0 などにおいて、長い添付ファイル名で buffer overflow するバグがあるという話。 DoS の他、任意のコマンドを実行される恐れあり。

• Cisco 7xx Series Router DoS Vulnerability

• CProxy 3.3 SP2 Buffer Overflow DoS Vulnerability

• HP-UX Shutdown Buffer Overflow Vulnerability

• Matt Kruse Calendar Arbitrary Command Execution Vulnerability

• NetworkICE ICECap Manager Default Vulnerability

• Allmanage Administrator Password Retrieval Vulnerability

• Hot Area Banner Rotation 01 World-Readable Password Vulnerability

• Cayman 3220-H DSL Router DoS Vulnerability

• Microsoft Active Movie Control Filetype Vulnerability

  結局 IE 5.x allows executing arbitrary programs using .chm files が解決されれば ok ということなのだろうか。

　2000.05.26 の MS00-030: Patch Available for "Malformed Extension Data in URL" Vulnerability に追記した。 日本語 IIS 4.0 用 patch が出ていた。

　Windows 9x/NT/2000 の CIFS Browser Protocol には、 ドキュメントされていない「コンピュータブラウザサービスを remote からシャットダウンする」という機能 (ResetBrowser) が含まれている。 このリクエストは認証なしでパケットを送るだけなので、誰でも remote から、 ブラウザサービスのリセットや停止ができてしまう、という指摘。

　なお、ここでいうブラウザは web ブラウザとは一切関係ない (と書いておいたほうがやっぱりいいよねえ)。 Project BLUEセミナー: Windowsネットワークのブラウジング問題の解明で説明されたようなブラウザ (ブラウジング) の話だ。

　これは MS00-036: Reset Browser Frame & Host Announcment Flooding Vulnerabilities の前半部分だと思われる。 MS00-036 の英語版 patch については、Microsoft ダウンロードセンターですでに公開されている。

　2000.05.11 の [JavaHouse-Brewers:33152] 警告: MacOS 版IE と MRJ のURLConnection にセキュリティホール に再追記した。 実は IE 5 + MRJ 2.1.4 もやっぱりダメなのだという情報。

　2000.05.23 の MS00-034: Patch Available for "Office 2000 UA Control" Vulnerability に再追記した。 ラックによる CERT Advisory 日本語版が出た。 よかったね。

　2000.05.23 の SGI Security Advisory 20000501-01-P: Vulnerability in infosrch.cgi に再追記した。 実は patch はないみたい、と、ACL で防げる、を追記。

　2000.05.11 の [JavaHouse-Brewers:33152] 警告: MacOS 版IE と MRJ のURLConnection にセキュリティホール に追記した。 MacOS 9.x についての状況を追記した。

　2000.05.23 の MS00-034: Patch Available for "Office 2000 UA Control" Vulnerability に追記した。 CERT Advisory が出ていた。 重要なことが書いてあるので、この CERT Advisory は読んでおいたほうがいい。

　2000.05.23 の SGI Security Advisory 20000501-01-P: Vulnerability in infosrch.cgi に追記した。 単にファイルが読めるだけでなく、nobody な remote shell をつくれるというものであることを追記。

　2000.05.22 の MS00-029: Patch Available for "IP Fragment Reassembly" Vulnerability に追記した。 日本語 KB 登場。

　2000.05.22 の MS00-029: Patch Available for "IP Fragment Reassembly" Vulnerability に追記した。 Windows 9x については日本語 patch が公開されていた。

　2000.05.17 の [M_IE5] Internet Explorer 4.0 と 4.5 の Microsoft VM について に追記した。 KB が改訂されていた。 が、実は IE 5 + MRJ 2.1.4 もダメなのだ。

　MS Office 2000 付属の ActiveX コントロール "Office 2000 UA コントロール" に弱点。 このドキュメントされていない ActiveX コントロールは "safe for scripting" (スクリプトを実行しても安全) とマークされているにもかかわらず、実は、 Office 2000 においてキーボードから実行できる機能のほとんど全てをスクリプトから実行できてしまう。 その中には、マクロセキュリティ設定を「低」にすることも含まれる。 これを悪用すると、web ページや HTML メールを経由して数々の悪事を働くことができてしまう。 http://www.atstake.com/research/advisories/2000/ouahack/index.html に、Office 2000 マクロセキュリティ設定を「低」にするデモが用意されている。

　patch が用意されている。 http://officeupdate.microsoft.com/japan/downloaddetails/2000/Uactlsec.htm から入手できる。 また、FAQ 日本語版も用意されているので参照されたい。

　この弱点は致命的なので、おおいそぎで fix しよう。

2000.05.25 追記: CERT Advisory が出てます: CERT Advisory CA-2000-07 Microsoft Office 2000 UA ActiveX Control Incorrectly Marked "Safe for Scripting"。 注目すべきはこのあたりかな?

The Restricted Zone and Active Scripting

Microsoft suggests in their advisory to configure Outlook to view mail in the Restricted Zone. While this is certainly good advice, it is not sufficient to protect you from exploitation of this vulnerability if the patch for the Office 2000 UA control has not been applied.

Because the Restricted Zone still allows the execution of scripts, an intruder can send you an email message which when viewed starts Internet Explorer and immediately exploits the vulnerability. To protect against this scenario, and others like it, you may wish to disable Active Scripting in the Restricted Zone.

Instructions for changing Outlook to use the Restricted Zone are available in Microsoft's FAQ on this topic. Instructions for disabling Active Scripting in the Restricted Zone are similar to those at

　http://www.cert.org/tech_tips/malicious_code_FAQ.html#steps

Note that these changes may result in reduced functionality in Internet Explorer and Outlook.

　要は、単に「制限つきサイトゾーン」にしただけじゃだめだよんということだ。 http://www.cert.org/tech_tips/malicious_code_FAQ.html#steps では、インターネットゾーンに対して、セキュリティ設定を「高」にし、そのうえで 「スクリプトを実行しても安全だとマークされている ActiveX コントロールのスクリプトの実行」と「アクティブ スクリプト」を無効とすることを勧めている。

　しかし、MSIE のセキュリティ設定についてという書きかけのページにも書いているのだが、 実は Java を有効にすることと JavaScript を有効にすることは (現状では) 同義だったりするのだ。というわけで、Java も無効にすること。 また、一般のインターネット利用において、セキュリティ設定「高」の「ファイルのダウンロード - 無効」は制限がきつすぎるだろうし、cookie の有効/無効についても考慮する必要があるだろう (cookie 有効にしないとつながらないサイトは多い)。 このあたりは、各自の利用状況に応じて決められたい。

2000.05.25 再追記: ラックによる CERT Advisory CA-2000-07 Microsoft Office 2000 UA ActiveX Control Incorrectly Marked "Safe for Scripting" 日本語版が出ている。 まずは、読みましょう。 文中で Outlook 2000 E-Mail Security Update も推奨されているんだけど、これの日本語版はまだ出てないんだよねえ。

2002.02.17 追記:

　Windowsに対する各種クライアント・サイド・アタック (Windows 2000 World 2000年9月号 月刊セキュリティレポート No.8)

　MS IIS 4.0, 5.0 に 2 つの弱点。

• "Undelimited .HTR Request" (区切り文字なしの .HTR リクエスト) 脆弱性。 remote user が、.htr による web ベースパスワード管理機構に対し、意図的に区切り文字を指定しないリクエストを送ると、DoS 攻撃が成立する。 ISS Security Advisory: IIS Remote Denial of Service Attack が発見者による指摘と思われるが、 IIS 4.0 はこの攻撃により CPU 100% となり、回復するには reboot させるしかなくなるという。 IIS 5.0 ではここまでひどくはならないという。

• ".HTR File Fragment Reading" (.HTR ファイル フラグメントの読み取り) 脆弱性。 remote user は、意図的に壊したリクエストを送ることによって、 .htr 処理機構を使って特定の形式のファイルの断片を読むことができてしまう。 ただし、この現象は限定された状況でしか発生しないという。

  2000.05.30 追記: 発見者による情報: Alert: IIS ism.dll exposes file contents。

　英語版 patch はあるが、日本語版はまだ。 .htr 拡張子に対する ISAPI フィルタ指定そのものを削除してしまうことでも解決できるので、.htr を使わないのならそうしたほうがいい。 削除のしかたについては、 1999.06.16 の Retina vs. IIS4, Round 2, KO の記述を参照されたい。 その他にもいろいろ登録されているはずだが、使わない機能はどんどん削除してしまおう。

2000.06.28 追記: MS00-031 が改訂され、IIS 5.0 用 patch が再リリースされている。 これによると、旧 IIS 5.0 patch では ".HTR File Fragment Reading" (.HTR ファイル フラグメントの読み取り) 脆弱性が fix されていなかったという。 新 patch では直っている……が、そもそも旧版の日本語版も出てなかったわけで。

　2000.05.23 の Gauntlet Firewall for Unix and WebShield cyberdaemon Buffer Overflow Vulnerability Advisory に追記した。 日本ネットワークアソシエイツから日本語情報が出ていた。

　SGI IRIX 6.5-6.5.7 に弱点。infosrch.cgi に弱点があり、remote user はこれを利用して、nobody 権限で読むことができる OS 内部ファイルを読むことができる。 fix patch が出ているので適用する。

2000.05.25 追記: これだが、単にファイルが読めるだけでなく、nobody な remote shell をつくれると指摘されている。 サンプル exploit が添付されており、動作を確認したと鹿田さんから情報をいただいた (ありがとうございます)。local user → root な穴を併用できればとんでもないことになるので、今すぐ fix を。

2000.05.25 再追記: よくよく advisory を読むと、IRIX 6.5-6.5.7 用の patch があるのではなく、IRIX 6.5.8 に upgrade せよ、と言っているようだ。 なんてこったい。

　また、advisory にあるように chmod して実行できないようにするのではなく、IRIX 標準装備の Netscape web サーバの ACL を利用して、自ホストのみからの実行を許可するよう設定する方法があるとフォロー (の日本語による紹介) されている。

　2000.05.19 の BUFFER OVERRUN VULNERABILITIES IN KERBEROS と 2000.05.17 の ALERT: Bypassing Warnings For Invalid SSL Certificates In Netscape Navigator に追記 (kerberos, Netscape SSL) した。 LAC による CERT Advisory 自主翻訳を追記。

　著名なファイアウォールプロダクトである TIS (Network Associates) Gauntlet 4.1〜5.5 UNIX 版に弱点。 Gauntlet に組みこまれた CyberPatrol デーモン (cyberdaemon) に buffer overflow する弱点があり、DoS 攻撃の他、remote から root 権限を得られるという。 4.2 以降については patch (cyber.patch) が http://www.tis.com/support/patchpage.html から入手できるので、今すぐ適用する。 patch をすぐ適用できない場合、もしくは patch がない場合 (4.1!) については、次のようにする:

1. CyberPatrol によるチェックが不要であれば、cyberdaemon を無効にする

2. CyberPatrol によるチェックが必要であれば、パケットフィルタを設定し、外部から firewall の port 8999 への接続を拒否する

　やりかたについては http://www.tis.com/support/cyberadvisory.html に詳細が記述されているので参照のこと。 また、NT 版 Gauntlet にこの弱点はない。 関連記事:

• SecurityFocus: Security Hole found in NAI Firewall

2000.05.23 追記: 日本ネットワークアソシエイツから日本語情報が出てます: Gauntletセキュリティアップデート・パッチ。

　Slashdot ネタは 2000.03.16 の Kerberos and Windows 2000 の話が発端ですね。 buffer overflow の話は 2000.05.19 の BUFFER OVERRUN VULNERABILITIES IN KERBEROS を。

　MacOS X には MIT Kerberos が付属するのですか……。

　なんでまたこういう話になるんだろう。 UNIX 方面では「ウィルスが書けるから perl は捨てよう」とか「exploit に利用されるから /bin/sh は捨てよう」と言う人って聞いたことないんだけど……。 なんかズレズレってカンジ。やるべきことが違うと思うぞ。

　MS IIS 4.0/5.0 に弱点。特殊な拡張子情報を含む URL をリクエストすることにより DoS 攻撃が成立。 ただし、情報処理後 IIS は通常状態に復帰する。 発見者による情報: Remote DoS attack in Internet Information Server 4.0 & 5.0 "Malformed Extension Data in URL" Vulnerability。 日本語版セキュリティ情報: MSKK2000-55: 「URL 内の変形された拡張子データ」脆弱性に対するパッチ。

　例によって英語版 patch のみ。

2000.05.26 追記: 日本語 IIS 4.0 用 patch が出ていた。 http://www.microsoft.com/technet/support/kb.asp?ID=20933 から入手できる。 IIS 5.0 用はまだみたい。

　MS Windows 9x/NT 4.0/2000 に弱点。 IP フラグメントの再構成において弱点があり、DoS 攻撃を受ける。 発見者による情報によると、 150 packets / 秒程度送れば十分なようだ。パケットがきている間は DoS 状態となる。

　patch が出ているが、例によって英語版のみ。

2000.05.24 追記: 日本語版 Advisory MSKK2000-58 が出ていた。 また、Windows 9x については日本語 patch が公開されていた (鈴木さん情報ありがとうございます)。

• Windows 98: Security Update, May 19, 2000

• Windows 95: Security Update, May 19, 2000

　Windows NT/2000 についてはまだのようだ。

2000.05.25 追記: 日本語 KB 登場。 J053767, [NT] 同一の断片化された ICMP パケットの問題。 日本語 patch は存在しないことになっている。

2000.06.24 追記: Windows 2000 用 patch が出た。 http://www.microsoft.com/windows2000/downloads/critical/q259728/default.asp から入手できる。 さっそく適用して、効果を確認できた。

　Lotus Domino ネタ 3 点きてます。

• Lotus ESMTP Service (Lotus Domino Release 5.0.1 (Intl))
  (Fri, 19 May 2000 04:11:33 +0900)

  Lotus Domino 5.0.1 の ESMTP サービスにおいて、長大な MAIL FROM: を指定することで DoS attack が成立するという指摘 (buffer overflow?)。 5.0.2 においても再現できたとフォローされている。

  2000.06.02 追記: 5.0.4 で fix されているとフォローされていた。 notes.net とかはすでに 5.0.4 になっている。

  2000.06.16 追記: 5.0.4 出てます。 Lotus Notes/Domino QMR and QMU Incremental Installers ページから入手できます。

• Black Watch Labs ID: BWL-00-07: Lotus Domino Server Misconfiguration - Documents Can Be Modified over the Web
  (Sat, 20 May 2000 10:55:02 +0900)

  Lotus Notes を動かしているサイトのいくつかにおいて、不良設定に起因する弱点が発見されたという指摘。 アクセス権の設定が正しくないために、外部ネットワークから web サーバ上のドキュメントを改変できてしまう。 10% を越えるサイトにこの弱点があったと指摘している。

• Black Watch Labs ID: BWL-00-08: Web Applications Should Not Assume That Lotus Domino Enforces Login When a Privileged Access Is Required

  Lotus Notes を動かしているサイトのいくつかにおいて、不良設定に起因する弱点が発見されたという指摘。 5% 程のサイトにこの弱点があったと指摘している。

　2000.05.17 の ALERT: Bypassing Warnings For Invalid SSL Certificates In Netscape Navigator に追記した。 いくつか追記。

　2000.05.19 の BUFFER OVERRUN VULNERABILITIES IN KERBEROS に追記した。 RedHat fix と MIT 本家による fix 配布を追記。

　MSIE 4.x/5.x (MSIE 5.5 beta を含む) に存在する 3 つの bug を fix。 また、MS99-054: Patch Available for "WPAD Spoofing" Vulnerability の一種である新たな弱点についても fix したとしている。 3 つの bug とは:

• "Frame Domain Verification" 脆弱性。 これは 2000.04.21 の IE 5 security vulnerablity - circumventing Cross-frame security policy using Java/JavaScript (and disabling Active Scripting is not that easy) の話だと思う。 高木氏の指摘のところまで fix されているのかどうかは……。

• "Unauthorized Cookie Access" 脆弱性。 これは先日各種メディアで和題になったやつのことのようだ。

  • オリジナル情報: Internet Explorer "Open Cookie Jar"

  • CNET NEWS: ウェブユーザーの個人情報を漏らすIEのセキュリティーホール

  • ZDNet News: IEに「cookieの抜け穴」——個人情報漏洩の恐れも

• "Malformed Component Attribute" 脆弱性。 Q261257: Malformed Component Attribute Issue in Internet Explorer の記述を読む限り、 これは 2000.04.17 の [SPSadvisory#35]Internet Explorer 5 OBJECT CODEBASE Buffer Overflow の話だと思う。

　MSIE 4.x/5.x for MacOS/UNIX については弱点があるとは記載されてないけど、本当かな……。関連:

• 日本語版警告: MSKK2000-56: 「フレームのドメイン照合」、「権限のない cookie アクセス」、「コンポーネント属性の変形」脆弱性に対する英語版修正プログラムをリリース

• CNET NEWS: マイクロソフトが5つのセキュリティーホールを修正

　当然ながら、まだ英語版 patch しか出てない。

　体質、はあるでしょうね。企業 top がわかってないと進まないものだし (特にポリシー方面とか)。ここもそうだけどさ。

　SecurityFocus.com Newsletter 第 41 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 ここで紹介してなかったのは以下……だと思う。

• Aladdin Knowledge Systems eToken PIN Extraction Vulnerability

• Netwin Dmailweb Server utoken Buffer Overflow Vulnerability

• Netwin DNews News Server Buffer Overflow Vulnerability

• Microsoft IIS shtml.exe Path Disclosure Vulnerability

  2000年春季 Firewall Defenders セキュリティ ワークショップ で三輪さんが紹介されていたやつですね。

• UltraBoard DoS Vulnerability

• Netopia DSL Router Vulnerability

• Gossamer Threads DBMan Information Leakage Vulnerability

• Allaire ClusterCATS URL Redirect Vulnerability

• AOL Instant Messenger Path Disclosure Vulnerability

• Spectra Container Editor Preview Object Security Vulnerability

• NetStructure 7110 Undocumented Password Vulnerability

• NetStructure 7180 Remote Backdoor Vulnerability

• golddig X11 Game Arbitrary File Overwrite Vulnerability

　日本語版を含む輸出版 Windows 2000 の場合、 「高度暗号化パック」を入れないとトリプル DES (3DES) が有効にならない。 それはそれでいいのだが、

1. 「高度暗号化パック」のインストール有無にかかわらず「3DES のみ」と設定できてしまい

2. しかもその場合 DES にダウングレードして接続してしまう

問題がある、という話。バグが 2 つあるのですね。 event log には警告が出るようだが、それだけ。 もちろん「高度暗号化パック」をインストールしてあれば何の問題もない。

　もと記事は Export version of Windows 2000 IPsec may silently default to DES (NTBUGTRAQ, Tue, 16 May 2000 00:36:24 +0900)。 伊原さんによれば「ISAKMP/Oakleyで使われているすべての3DES暗号化は、より強度の低い標準DES暗号化に設定されました」とログに出るようだ。

　これはやっぱまずいので、fix したうえで、Windows Update などで「高度暗号化パック」のインストールを強く勧めてほしいところだ。

　2000.03.07 の Security Focus Newsletter #31 2000-02-28 -> 2000-03-05 に追記した。 FreeBSD の lynx Advisory が改訂された。

　2000.05.17 の FreeBSD Security Advisory: FreeBSD-SA-00:18.gnapster に追記した。 警告の改訂版が出てました。

　MIT などの Kerberos 4 に buffer overflow バグがあるという指摘。 Kerberos 5 の Kerberos 4 互換機能にもこのバグが含まれているという。 これにより、Kerberos 4 による認証を利用しているサービス (ex. krshd) を動かしている機械については、remote user が root 権限を得られる可能性があるという。 また、local user は v4rcp や ksu を使うことで root 権限を得られる可能性があるという。 弱点があるのは、MIT Kerberos 4, MIT Kerberos 5, KerbNet (Cygnus の Kerberos 5 実装), Cygnus Network Security (Cygnus の Kerberos 4 実装)。 fix patch が添付されているので、これを適用して make しなおす。

　フォローいくつか:

• KTH krb4, KTH Heimdal には弱点はないとフォローされている。

• Windows 2000 (の Kerberos) には弱点はないとフォローされている。

• Yet Another Kerberos Patch が投稿されている。

• FreeBSD での Kerbros について、FreeBSD Ports Security Officer の Kris Kennaway 氏がコメント ([1], [2]) している。 これによると、今の FreeBSD に標準でついてくる Kerbros は KTH Kerberos のようで、上記の通り KTH Kerberos には弱点はないとされている。 また、昔 (2.2.5-RELEASE 以前) は MIT Kerberos 4/eBones ベースだったようで、これには弱点がある。 また、ports の security/krb5 は MIT Kerberos なので、これをインストールしている場合は弱点があるが、2000/05/17 付けで fix されている。

• CERT Advisory: CA-2000-06 Multiple Buffer Overflows in Kerberos Authenticated Services。 NetBSD の us 向け版の Kerberos 4 に問題があるようだ。 OpenBSD は KTH Kerberos なので問題なし。

2000.05.22 追記: 続報:

• [RHSA-2000:025-05] Updated Kerberos 5 packages are now available for Red Hat Linux.

  RedHat 用 fix package。MIT Kerberos だったのか。

• Kerberos Security Advisories

  本家による MIT Kerberos の patch 配布。 ふつうの日本人は MIT Kerberos は使ってないはず。

2000.05.22 追記: LAC が CERT Advisory: CA-2000-06 Multiple Buffer Overflows in Kerberos Authenticated Services を 自主翻訳されているので参照されたい。

2000.05.29 追記: FreeBSD から Advisory が出ている: FreeBSD-SA-00:20 krb5 port contains remote and local root exploits。 日本語版もある。

　重要そうなもの pickup。

• dsniff 2.1。

  こういうものが世の中には充満しているという前提でシステムを組まねばならない時代です。

• Extended Attributes & POSIX Access Control Lists for Linux。

  Linux への POSIX 1003.1e ドラフト 仕様 ACL の実装。 FreeBSD だと POSIX.1e Access Control Lists for FreeBSD というのがある。

• the Anomy mail tools 1.10。

  procmail と組みあわせて使うことを前提とした mail フィルタプログラム。

　Netscape Communicator 4.72 以前および Personal Security Manager 1.0x に弱点。 一旦 SSL セッションが開始されると、 Netscape Communicator は、セッションの同一性のチェックにおいて、 本来はホスト名を比較しなければならないもかかわらず、ホスト名から resolv した IP address を比較してしまう。 この弱点を利用すると、DNS 書きかえを組みあわせることにより、 攻撃者は SSL 暗号化通信で守られているはずのクレジットカード番号などを他の server に転送させることができてしまう。 対応としては、Personal Security Manager 1.1 をインストールするか、最新の Netscape Communicator 4.73 にすれば fix されるという。

　その他:

• オフィシャル情報: http://home.netscape.com/security/notes/index.html の "The Acros-Suencksen SSL Vulnerability" の項。

• CERT Advisory: CERT Advisory CA-2000-05: Netscape Navigator Improperly Validates SSL Sessions

　あーあ、1 week も経過しちゃってるぢゃん。

2000.05.22 追記: いくつか:

• [RHSA-2000:028-02] Netscape 4.73 available

  RedHat の fix パッケージ。

• TidBITS-J#530/08-May-00 (まだ web page が存在しないみたい: TidBITS-J ページには 529 までしかない)

  Netscape 4.73 for MacOS の話が出ている。 添付されているユーティリティ (AIM, StuffIt Expander, RealPlayer) のバージョンが旧い、とされている。

2000.05.23 追記: CERT Advisory: CERT Advisory CA-2000-05: Netscape Navigator Improperly Validates SSL Sessions の LAC による自主翻訳が出ているので参照されたい。

2000.06.13 追記: Caldera fix 登場: Caldera Systems, Inc. Security Advisory: flaws in the SSL transaction handling of Netscape。

　"The top 10 vulnerabilities represent the most commonly found and exploited high-risk vulnerabilities on the Interne" だそうです。 「IIS」とか「Linux buffer overflows」なんて項目があるのが、なんともかんとも。

　2000-04-29 以前の packages/ports による gnapster port (1.3.8 以前) に弱点があり、remote の gnapster ユーザは、local で grapster を動かしているユーザのファイルを読めてしまう。 この弱点は gnapster 1.3.9 で fix されているので、これベースの packages/ports に移行する。

　どうせ遅れたので、日本語版警告文書への link にしておきました。 英語版はこれ。

2000.05.19 追記: 警告の改訂版が出てました。 gnapster に加え、knapster についても記述されています。

　これら弱点についての情報: KNapster Vulnerability Compromises User-readable Files, Gnapster Vulnerability Compromises User-readable Files。

　ISS Security Alert Summary May 1, 2000 Volume 5 Number 4。

　トレンドマイクロ InterScan VirusWall for Windows NT 3.32 以前に弱点。 uuencode されたメールにおける、ファイル名の処理に buffer overflow する弱点があり、remote から任意のコードを実行できてしまう。

　uuenocde というのは UNIX 方面でよく使われた (いまどきはふつう MIME base64 でしょう) エンコード形式で

begin 644 filename.tar.gz

というはじまりかたをする。このファイル名処理に弱点があったということ。

　3.4 版で fix されているので、 ftp://ftp.antivirus.com/products/beta/ からベータ版 (isvw34beta.zip かな?) を get して、 これに入れかえる。 InterScan Info のページでも「日本語版で、対応できていないウイルスがありますので、 できる限り英語版でのご使用をお勧めいたします」となっているので、これをつかえばよいのだろう。

　おもしろそうなやつを pick up してみました。

• [NT] 無人インストール後 Administrator パスワードが正しく設定されない

  こういうの、知ってないと墓穴掘りますよねえ。

• [FP]FrontPage Server Extensions のイメージ マップ ファイルによる脆弱性

  2000.04.20 の More vulnerabilities in FrontPage: CERN Image Map Dispatcher (htimage.exe) で触れている MS00-028: Procedure Available to Eliminate "Server-Side Image Map Components" Vulnerability 関連の KB。

• [M_IE5] Internet Explorer 4.0 と 4.5 の Microsoft VM について

  MacOS では、MS 独自の JavaVM は使うな、という内容。 2000.05.11 の [JavaHouse-Brewers:33152] 警告: MacOS 版IE と MRJ のURLConnection にセキュリティホール で紹介した警告本文で触れられている件ですね。

  2000.05.24 追記: J053657, [M_IE5] Internet Explorer 4.0 と 4.5 の Microsoft VM について が改訂されている。IE 5 は MRJ 2.1.4 と、IE 4.x は MRJ 2.2 といっしょに利用してくれ、となっている。

  2000.05.25 追記: 実は IE 5 + MRJ 2.1.4 もダメだと高木さんから情報をいただいた。 IE 5 はどうやってもダメ (笑)。Java を停止しましょう。

• [NT] 移動プロファイルについてのディスクの空き領域のエラー

  2 倍必要というのは豪快ですね。HDD 安くなったとはいうものの……。

• [NT] 2000 年より新しい BIOS 日付の NT 診断プログラムでの表示

  Y2K はつづくよどこまでも。

　MSIE for MacOS (Microsoft Java VM) および Apple MRJ (Mac OS Runtime for Java) に弱点。 Java セキュリティ機能の実装に欠陥があり、URLConnection を使用してアプレットが任意のホストに接続できてしまう。 この弱点を利用すると、毒入りの Java アプレットを経由して目標サイトのイントラネット内データを入手することなどが可能となる。 電総研の高木氏による指摘 (情報ありがとうございます _o_)。

　問題が発生するソフトウェアの組みあわせは膨大である。 以下に警告文書から引用する:

その二つのセキュリティホールを(A)、(B)とします。それぞれについて、それ
が原因で被害を発生させる危険性があるかどうかを、各VMとウェブブラウザの
バージョンの各組み合わせについて、調査した結果を以下に示します。

                                           (A)   (B)
Mac OS + MRJ 2.2 + IE 5                    危険  危険
Mac OS + MRJ 2.2 + IE 4.5                  安全  安全
Mac OS + MRJ 2.2 + IE 4.01                 安全  安全
Mac OS + MRJ 2.2 + iCab pre2.0             安全  安全
Mac OS + MRJ 2.2 + HotJava 3.0             安全  安全
Mac OS + MRJ 2.2 + Apple Applet Runner     安全  安全
Mac OS + MRJ 2.1.4 + IE 5                  危険  危険
Mac OS + MRJ 2.1.4 + IE 4.5                危険  危険
Mac OS + MRJ 2.1.4 + iCab pre2.0           危険  危険
Mac OS + MRJ 2.1.4 + HotJava 3.0           安全  安全
Mac OS + MRJ 2.1.4 + Apple Applet Runner   危険  危険
Mac OS + MRJ 2.1.1 + IE 5                  危険  危険
Mac OS + MRJ 2.1.1 + IE 4.5                危険  危険
Mac OS + MRJ 2.1.1 + IE 4.01               危険  危険
Mac OS + MRJ 2.1.1 + iCab pre2.0           危険  危険
Mac OS + MRJ 2.1.1 + HotJava 3.0           安全  安全
Mac OS + MRJ 2.1.1 + Apple Applet Runner   危険  危険
Mac OS + MRJ 2.0 + IE 4.5                  危険  危険
Mac OS + MRJ 2.0 + Apple Applet Runner     危険  危険
Mac OS + Microsoft VM for Java + IE 4.5    危険  安全
Mac OS + Microsoft VM for Java + IE 4.01   危険  安全

　MSIE の他に iCab や Apple Applet Runner でも問題が表面化していることがわかる。

　iCab, HotJava, Apple Applet Runner と MRJ 2.2 を組みあわせた場合は安全にもかかわらず、MSIE 5 for MacOS と MRJ 2.2 を組みあわせた場合は危険であることに注意されたい。 また、HotJava 3.0 は 2.2 より旧い MRJ を利用しても安全とのことだ。 こうなる理由については本警告にも推測が記述されているが、 [JavaHouse-Brewers:33141] Re: MRJ 2.2 http redirection vulnerability に、そう推測するに至った詳細が記述されている。

　MacOS のデフォルト状態については次のようにまとめられている:

                                           (A)   (B)
Mac OS 8.0    IE 3.0   Microsoft VM        危険  安全
Mac OS 8.1    IE 3.0   Microsoft VM        危険  安全
Mac OS 8.5    IE 4.01  Microsoft VM        危険  安全
Mac OS 8.6    IE 4.5   MRJ 2.1.1           危険  危険
Mac OS 9(a)   IE 4.5   MRJ 2.1.4           危険  危険
Mac OS 9(b)   IE 4.5   MRJ 2.2             安全  安全

　というわけで Mac OS 9(b) の IE 4.5 + MRJ 2.2 だけはデフォルトでこの問題については安全なのだが、 2000.03.03 の デジクリトーク・MKチャット対談 《緊急特番！》 Mac 版Internet Explorer 5 は大丈夫か?! で述べられているように、IE 4.5 は一般利用という観点では「セキュリティ以前」の問題があるわけで、現実問題としては結局どれもダメダメと言わざるを得ない。 個人的には、現状では、IE については IE 5 にしたうえで Java の機能を停止し、Java が使いたい場合は Netscape や HotJava といった「安全な」ものを利用するのがよいと思う。

　デモコードが公開されている:

• (A) のバグ: http://java-house.etl.go.jp/~takagi/java/test/urlconnection-http-redirect/Test.html

  『RLConnectionにおいて、 接続先のサーバが「HTTP-redirect」機能によって別のサイトへの再接続を要求してきた際に、再度接続先をチェックすることを怠っているために発生している』弱点だそうだ。

• (B) のバグ: http://java-house.etl.go.jp/~takagi/java/test/urlconnection-direct/Test.html

  『「HTTP-redirect」のテクニックを使わずとも、普通の方法でURLConnectionを使用するだけで、任意のホストに接続できてしまう』弱点だそうだ。

　この種の問題により発生する脅威については、これも高木氏による 「[JavaHouse-Brewers:33024] 任意のホストに接続できてしまうセキュリティ上の欠陥がもたらす危険性」に詳述されているので、あわせて読まれたい。

　さて、この警告で最も重要なのは、実は最後に記述されている Apple の対応のまずさであるような気がする。 いよいよ MacOS X 時代になり、MacOS への attack も確実に増えるだろうというときに、こういうことでは……。

　MS の「MS JavaVM に弱点がある旨の警告はしない」というのもかなりキていますけどね。MSIE 5 への upgrade により自動的に MS JavaVM が使われなくなるのは確かだけど、MSIE 5 for MacOS + MRJ 2.2 で弱点爆発してるわけだし……。

2000.05.17 追記: 警告でも触れられている、「MacOS 上では MS 独自の JavaVM は使うな」という内容の KB が出た。 J063657, [M_IE5] Internet Explorer 4.0 と 4.5 の Microsoft VM について。

2000.05.25 追記: 警告文書で MacOS9(a)(b) となっていたところは、MacOS 9 と MacOS 9.0.4 との違いだとの続報を高木氏からいただいている。 MacOS 9.x の詳細を加えると、次のようになる:

                                                      (A)   (B)
Mac OS 8.0               IE 3.0   Microsoft VM        危険  安全
Mac OS 8.1               IE 3.0   Microsoft VM        危険  安全
Mac OS 8.5               IE 4.01  Microsoft VM        危険  安全
Mac OS 8.6               IE 4.5   MRJ 2.1.1           危険  危険
Mac OS 9.0               IE 4.5   MRJ 2.1.4           危険  危険
Mac OS 9.0.1(存在する?)  IE 4.5   MRJ 2.1.4(たぶん)   危険  危険
Mac OS 9.0.2             IE 4.5   MRJ 2.1.4           危険  危険
Mac OS 9.0.3             IE 4.5   不明
Mac OS 9.0.4             IE 4.5   MRJ 2.2             安全  安全

　また、上記は日本語版 MacOS についてであり、英語版 MacOS については状況が異なる (より早い時期に MRJ 2.2 に移行している?) かもしれないとのことだ。

2000.05.25 再追記: J053657, [M_IE5] Internet Explorer 4.0 と 4.5 の Microsoft VM について が改訂されている。 IE 5 は MRJ 2.1.4 と、IE 4.x は MRJ 2.2 といっしょに利用してくれ、となっている。 のだが、実は IE 5 + MRJ 2.1.4 もやっぱりダメなのだ高木さんから情報をいただいた。 IE 5 はどうやってもダメ (笑)。Java を停止しましょう。

2000.06.23 追記: いまごろになってようやく Apple Tech Info Library 日本語版にこれの情報が登場。 100390JO: Mac OS Runtime for Java (MRJ): セキュリティ問題について。

2000.07.03 追記: MRJ 2.2.2 が登場。 指摘されていた security 問題は fix されていることを手元でも確認できた。

　BOWall は、Windows NT 4.0 の .DLL を強制的に書きかえ、 buffer overflow 対策版にしてしまうというもののようです。 Libsafe ほど気軽に試せるわけではなさそう。 SocksCap みたいな実装はできないのかしら。

　guard3.dll が持つ「長すぎる URL の排除」と似たようなことは、実は標準でできたというお話。 でも guard3 の方が高機能なので、やっぱりインストールしましょう。

　1999.10.21 の MS99-044: Patch Available for "Excel SYLK" Vulnerability に追記した。 patch が出ていた。しかも 2000.01.28 に (がーん)。

　2000.04.06 の MS00-022: Patch Available for "XLM Text Macro" Vulnerability に追記した。 日本語 KB と patch 登場。

　SecurityFocus.com Newsletter 第 40 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 ここで紹介してなかったのは以下……だと思う。

• Cassandra NNTPServer v1.10 Buffer Overflow Vulnerability

• Cisco Router Online Help Vulnerability

• Microsoft Windows 9x NetBIOS NULL Name Vulnerability

  手元で試した限りではなにも起きないみたいだったけど……。

• UltraBoard Directory Traversal Vulnerability

• Tcpdump DNS Decode Vulnerability

• Multiple Vendor Predictable Resolver ID Vulnerability

  当初 glibc Predictable Resolver ID Vulnerability とされていた (sfn40 もそうなってる) けど、これはもともと bind 由来のコードだそうで、Bugtraq ID 1166 でも vulnerable: ISC BIND 8.2.2 p5 となっている。 その他、この記事へのフォローと DJB 氏のフォローも参照。

　tsocks - Transparent SOCKS library for Linux/Solaris なんてのがあるんですね。

　2000.05.06 の VBS.LoveLetter.A に再追記した。 Q224493 の日本語版 KB が出てました。

　1999.12.06 の Windows NT 4.0 ついに C2 適合! に追記した。 日本語 KB が出ていた。

　FreeBSD 3.x に含まれる libmytinfo (ncurses の一部) に弱点。 buffer overflow するため、libmytinfo を link している suid/sgid なコマンドによりさまざまな悪さをされる可能性がある。

　対応としては、ftp://ftp.freebsd.org/pub/FreeBSD/CERT/tools/libfind.sh を入手し、root 権限で sh libfind.sh / を実行し、上記に該当するような危険なものがないかどうか探す。 もしあれば、それは削除するか suid/sgid bit を落す。 その後、 patch を適用して cd /usr/src/lib/libmytinfo; make all; make install する。

2000.05.11 追記: libfind path が間違っていたので fix。戸井さんご指摘ありがとうございます。 libfind.sh のオフィシャルな path は ftp://ftp.freebsd.org/pub/FreeBSD/CERT/patches/SA-00:17/libfind.sh なんですが、これは ftp://ftp.freebsd.org/pub/FreeBSD/CERT/tools/libfind.sh への symbolic link のようなので、実体の方を示してあります。

　FreeBSD の ports に含まれる golddig というゲームに弱点。 スコアファイルの読み書きができればいいだけなのに /usr/local/bin/makelev が suid root されてしまっているため、local user はあらゆるファイルを上書きできてしまう。

　2000-04-30 以降の golddig ports で fix されている。 patch-aa と patch-ad が新しくなったようだ。

　Yahoo Mail, USA.net, MailExcite の web メールに弱点。 HTML メールに巧妙に設定することにより、いかにも Yahoo Mail のような偽のフォームを設定し、内部ユーザを騙してパスワードを入力させる方法があるという指摘。 Microsoft Hotmail にこの弱点はない。 Yahoo! Japan とか goo とか excite (J) のやつはどうなのかなあ。

　もと記事: "Fake Mail Form" security hole in Web-based email sites。 Yahoo などは <FORM> タグの target 属性を書きかえないためにこの弱点が生じているとしている。

　Web メールのセキュリティを確保するのはたいへん困難なんだけど、でもユーザ多いんですよね。 メールアカウント発行しない学校の学生がしかたなく使っている例とかあるそうだし。

　binfo, ghba, whisker など "penetration test" ツールの紹介 + α。

　このあたりの話が MacOS X でどう変わるのか……よくわからん。

　US は軍が強力にいろいろやってるからなあ。お金もあるし。

　2000.05.06 の VBS.LoveLetter.A に追記した。 さらに追記。なかなか終りませんね。

　2000.04.11 の Internet Explorer 5.0 が必ずクラッシュするページ に追記した。 マイクロソフトから KB が出ていた。

　2000.05.01 の クアルコムが『Eudora』のセキュリティーホールを警告 に追記した。 クニリサーチからも情報が出ていた。

　2000.05.06 の VBS.LoveLetter.A に追記した。 いろいろ情報が出ているので追記。

　id Software の著名なゲームソフト Quake3Arena に弱点。 Quake3Arena の modification (機能拡張 plug-in?) は限定された環境内 (Quake3Arena インストールディレクトリ) でのみファイルの改変ができるとしているが、 実はその上位ディレクトリにアクセスできてしまう。 このため、 悪意ある Quake3Arena サーバは毒入り modification を送り込むことによって、 modification からシステムファイルの削除やトロイの木馬の埋め込みなどが可能となる。 ユーザが modification の自動ダウンロードを on にしている場合が特に危険。

　これに対応して、問題が fix された Quake III Arena 1.17 がリリースされている。

　関連記事: Quake IIIにセキュリティホール——Id Softwareが対処

　Linux において console login する場合に、/bin/login から呼ばれる pam_console モジュールは tty やこれに対応する vcs (仮想コンソールメモリ: virtual console memory) デバイスをはじめ、 さまざまなデバイスのオーナーを変更する。 これらはログアウト時に元に戻されるが、/dev/tty[0-9] についてはこれが行われない (行えない) ため、local user はログアウト後もこれらデバイスを制御できてしまう、という指摘。 具体例として、console logon 後、利用している /dev/vcs? (? = 0〜9) を open することにより、その後 console login するユーザの挙動を盗み見ることが可能としている。デモプログラムが付属。

　指摘文書にはバージョンも何もないのだけど、BUGTRAQ ID 1176: Multiple Linux Vendor pam_console Vulnerability では RedHat Linux 6.0〜6.2 に弱点ありとなっている。

　海外で広く利用されている Lsoft Listserv Mailing List driver の web アーカイブコンポーネント (wa/wa.exe) v1.8d (最新) に buffer overflow バグがあるという指摘。 Windows 版/UNIX 版両方に弱点があるという。 これを利用して、remote からサーバ上で悪意あるコードを実行できる。 デモコードが付属している。

　これを受けて、 Lsoft から SECURITY ADVISORY 5 May 2000 が出ている。 2000a LEVEL SET において対応されているようだ。 といっても patch があるわけではなく、評価版/フリー版として公開されている最新版をそのまま (再) インストールするようだ。

　2000.04.27 の JavaScript-in-cookies security hole demo page に追記した。 fix 版 4.73 登場。

　さっき書いた [SPSadvisory#36]Linux /usr/bin/kon buffer overflow と How we defaced www.apache.org に追記 (kon、apache.org) した。

　おっしゃるとおりである。

　NetBSD 1.4.2 以前、および 20000506 以前の NetBSD-current に弱点。 意図的に壊された IP オプションを設定されたパケットを受けとると、NetBSD が down してしまうという。 対応としては、1.4.[12] ユーザは patch を適用し kernel をつくりなおす。 -current な人は 20000507 以降に upgrade して kernel をつくりなおす。

　オリジナルはこれ: [NHC20000504a.0: NetBSD Panics when sent unaligned IP options]

　www.apache.org を書きかえたレポート。 ftproot と wwwroot が同じで、しかも誰でも書けるディレクトリが存在したというのがそもそもまずいはじまり。 今現在 ftp://ftp.apache.org は動いてないみたい。

　書きかえられた top page はこちら: http://www.attrition.org/mirror/attrition/2000/05/03/www.apache.org/。 飯島さん情報ありがとうございます。

2000.05.08 追記: ftpd が down している件については、 Slashdot の 記事 に引用されている Brian Behlendorf 氏のメールに記述されているそうだ。 でも、心配するあまり ftpd を止めるというのはねえ (これでは ftpd がかわいそうだ)。 こがさん情報ありがとうございます。

　広く利用されている kon 漢字コンソールエミュレータ 0.3.8 に弱点。 -MOUSE 引数に buffer overflow する弱点があるため、local user が root 権限を得られる。fix 方法も記述されている。 Vine 1.1 の kon2-0.3.8-10 や Turbo 6.0 Workstation の kon2-0.3.9-1、 FreeBSD (全バージョン) ports にも同様の弱点があるように見える。

2000.05.08 追記: FreeBSD の ports-current については fix が適用されたとフォローされていた。

　手元の TurboLinux 6.0 Workstation で kon -MOUSE aaa....(320個くらい)...aaa を試したら、いきなり reboot した。また、 Libsafe: Protecting Critical Elements of Stacks を /etc/ld.so.preload に書いて試したら、見事に検知・防衛できた。

　2000.04.25 の local user can delete arbitrary files on SuSE-Linux に追記した。 SuSE アナウンスが update されている。

　HP-UX ものです。10.x と 11.x。

• HPSBUX9910-104 Sec. Vulnerability regarding automountd (rev. 01)

     B.| Fixing the problem
       |
       | For HP-UX release 11.00  apply             PHNE_20371,
       | for HP-UX release 10.20  apply             PHNE_20628.

  だそうです。

• HPSBUX0005-113 Sec. Vulnerability with shutdown command

     B. Fixing the problem
        ……
        For HP-UX release 11.00, obtain and apply PHCO_21534;
        for HP-UX release 10.20 and 10.10, obtain and apply PHCO_21574.
        
        For HP-UX VirtualVault (VVOS) release 11.04, use PHCO_21567;
        for HP-UX VirtualVault (VVOS) release 10.24, use PHCO_21566.

  だそうです。

　Linux 2.2 の kernel knfsd サーバの net/sunrpc/svcauth.c svcauth_unix() でのサイズチェックに問題があり、DoS を受ける可能性があるという指摘。 2.3.99pre7-pre1, 2.2.15pre20 で確認したという。 fix patch が添付されている。

　sniffit 0.3.7 に remote から攻撃可能な buffer overflow バグがあるという指摘。

　「AppleShare IP Web & File 6.3.2 fixes a potential security problem in the Web server in versions of AppleShare IP 6.1 and later. When an invalid range request is made to the Web server by a client computer, the Web server can return an extra 32 kilobytes (kb) of data」 だそうで。 これの日本語版あるのかな。

2000.06.12 追記: 日本語 patch 登場。 http://www.apple.co.jp/ftp-info/reference/asip_wf_6.3.2.html からどうぞ。 1 か月かかりますか……。

　オフィシャル: Update on Web Companion Issues 。 http://www.filemaker.co.jp/support/webcompanion.html というモノは存在しないようです。

　これがオリジナル? FileMaker Pro 5 Security Holes。

　限界というか、「そういう」wall をつかっていたということですよね。 wall で守れているところもあるでしょうから。 「結局，セキュリティはプロセスであって，製品，ましてや技術ではない」 はおっしゃる通り。

　「チェーンメールの事なら、オレ達に任せて!」だそうです。 アカとかミドとか、元祖ゴレンジャーな名前ですな。

　2000.05.06 の VBS.LoveLetter.A に追記した。 いろいろ情報が出ているので追記。

　VBScript を利用した新種のワームが登場。 E-mail の添付ファイル、あるいは IRC (mIRC に対応) を経由してやってくる。 例によって Outlook のアドレス帳を利用してメールをばらまく。 拡張子 vbs, vbe, js, jse, css, wsh, sct, hta, jpg, jpeg, mp3, mp2 のファイルに感染する。 当初 Subject: ILOVEYOU というメールにのってやってきていたが、すでに変種が登場しているので、Subject: だけ見て対応したりはしないほうがいい。

　詳細については、BUGTRAQ に投稿された Elias Levy 氏の記事 (と フォロー1、フォロー2) と Steve Wolfe 氏の "ILOVEYOU" virus analysis が詳しい。これによると、 ワームは %WINDIR%\MSKernel32.vbs とか %SYSDIR%\LOVE-LETTER-FOR-YOU.TXT.vbs とか %SYSDIR%\Win32DLL.vbs とかいうものをつくる他、レジストリエントリ

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\Win32DLL

を登録し、再起動時に実行させようとする。 加えて、

• http://www.skyinet.net/~young1s/HJKhjnwerhjkxcvytwertnMTFwetrdsfmhPnjw6587345gvsdf7679njbvYT/WIN-BUGSFIX.exe
• http://www.skyinet.net/~angelcat/skladjflfdjghKJnwetryDGFikjUIyqwerWe546786324hjk4jnHHGbvbmKLJKjhkqj4w/WIN-BUGSFIX.exe
• http://www.skyinet.net/~koichi/jf6TRjkcbGRpGqaq198vbFV5hfFEkbopBdQZnmPOhfgER67b3Vbvg/WIN-BUGSFIX.exe
• http://www.skyinet.net/~chu/sdgfhjksdfjklNBmnfgkKLHjkqwtuHJBhAFSDGjkhYUgqwerasdjhPhjasfdglkNBhbqwebmznxcbvnmadshfgqw237461234iuy7thjg/WIN-BUGSFIX.exe

という URL からバイナリコードを取得し、これもレジストリに登録しようとする他、 IE のスタートページも変更してしまう。 その後 HTML ページを表示して ActiveX コントロールを有効にするよう促す。

　すでにワクチンベンダー各社はこのワームに対応しているので、最新のウィルス定義ファイルを入手して対応されたい。

　CERT Advisory が出ている: CERT Advisory CA-2000-04 Love Letter Worm

2000.05.08 追記: トレンドマイクロの「VBS_LOVELETTER」変種・亜種続々発生 〜件名など変更、出勤日となる8日月曜日注意必要〜 によると、web ページからダウンロードしようとしていたのはパスワードクラッカーのようですね。 以下 link 集:

• トレンドマイクロ: 大規模感染警報・VAC-1「VBS_LOVELETTER」 〜ウイルス添付ファイルを自動送信するワーム〜、 「VBS_LOVELETTER」変種・亜種続々発生 〜件名など変更、出勤日となる8日月曜日注意必要〜

• シマンテック: VBS.LoveLetter.A、 シマンテック，電子メールを媒介に増殖する新種ワーム「ラブレター」と，その変種に緊急対応

• ネットワークアソシエイツ: Loveletterウイルスヘルプセンター

• ZDNet News: 各国で急速に被害拡大——「I Love You」ウイルスに要注意、 I Love Youの脅威，日本でも……、 さらに増えるI Love Youの類似ウイルス。

• MacWIRE: Windowsを襲う“I Love You”ウイルス，Macは (ほとんど) 感染しない

• PC Week: 「Mother's Day」の変種への注意を呼びかけるアンチウイルス専門家

　マスメディア各社も 5/6 夕あたりの TV ニュースから続々やってましたが、変種が多数出ているので ILOVEYOU (空白なし) だけ注意すりゃいいってわけじゃないというところまでフォローできているところはなかったような。

　で、本当の問題って、Outlook において、添付されて送られてきた実行ファイル (or 実行スクリプトファイル) を実行できちゃうってことなんじゃないかと思うのだけど、これを止めさせる設定ってなんかないんでしょうか。 スクリプトファイルはメモ帳とかで見れるようになってればいいと思うし。

2000.05.09 追記: さらに情報続々。

• MS Security Advisor に情報が出ている。「Outlook 97、Outlook 98、Outlook 2000 をアップデートしていただくことで、添付ファイルをOutlook上で安易に実行できなくすることが可能です」。 あ、そういえばそんなのがあったなあ。 1999.06.29 の Attachments and MS Outlook and virusprotection で紹介している。 そうか、これはデフォルトの Outlook からすれば十分にセキュリティアップデートなのだな。

  あと、MS Exchange での LOVELETTER の除去をするユーティリティが紹介されています: Q224493 - XADM: Using ISSCAN to Remove Messages or Attachments Affected by a Virus。 もともとは Melissa 用にできたもののようで、しかも本当に緊急対応のためだけの機能しかありません。

• LOVELETTER ワームとは直接関係ないけど、 "I don't think I really love you": or writting internet worms for fun and profit という文書が各所に投稿されている。 UNIX 用みたい。

• フリーの修復ツールがいっぱい出てるみたいです。

  • Cerberus Security Team vf

    これの説明: [1], [2]

  • シマンテック fixlove

    この fixlove、櫻井さんからの情報によると、 IE の homepage がブランクページだと、感染してるとして勝手に http://www.symantec.com/avcenter/repair_instruct.html に書き換えてしまうそうです。

  • トレンドマイクロ ラブレターQuickFix

    「ラブレターQuickFixはあくまでも改変されたシステムを修復するツールであり、VBS_LOVELETTERに感染したファイルを発見削除するものではありません」 だそうです。 そういう役目については、とりあえずは各社の 30 日とか 60 日とかの試用版で fix して、そのあと買いましょう。

• ワクチンベンダー各社の対応状況: LOVELETTERウイルスの被害--対策ソフトで差。

• 容疑者逮捕のニュース: フィリピンで「I Love You」容疑者1人逮捕——電子の痕跡6点

2000.05.10 追記: 関連記事:

• セキュリティベンダーは重要なテストに落第？

  こういうときのために、 ワクチン屋さんはコンテンツディストリビューション屋さんと組むべきなんじゃないかなあ。

• I Love Youの亜種が20種超に， UNIX版まで登場？

  亜種続々登場で、ワクチン屋さんもデータの update をつづけているようです。

  UNIX 版って、何で動いてるんだろう? そもそも UNIX で動く VB インタプリタってあるのかな。 Solaris/HP-UX 版 IE 5 についてくるとか?

• メール型ウイルス対策会議設置などを要請　郵政省　通信事業者に

  それって ISP の仕事なの? なんかズレてるような気がする。

• 『I LOVE YOU』犯人の捜査は振り出しに

  容疑者は容疑者であって犯人であると確定したわけではないんですよね。

　ところで、 MS Security Advisor や MSKK2000-52: VBS/Loveletter ウイルスに関する情報でのこのセリフ:

以下のことを徹底していただくことで、ウイルスに感染するこ とを防ぐことができます:

• 知らない誰かから送られてきたファイルは実行しない
• アンチウイルスソフトを使用する
• 最新の定義ファイルに常にアップデートする

に対し、高木さんは

この認識不足はひどいですよね。

メリッサ系のワームは、アドレスブックを参照して通常設定のメーラを使うのだから、「親しい知人からこそ送られてくる」のが正しいですよね。だから強力なわけで。

と指摘されている。おっしゃる通りです。 知っていようがいまいが実行ファイルが来たら「コレハ変」と思わないと。 そういえば昨日も

Estimado Cliente:

Rogamos actualizar y/o verificar su Sistema Operativo para el correcto funcionamiento de Internet a partir del Ao 2000. Si Ud. es usuario de Windows 95 / 98 puede hacerlo mediante el Software provisto por Microsoft (C) llamado -Fix2001- que se encuentra adjunto en este E-Mail o bien puede ser descargado del sitio WEB de Microsoft (C) HTTP://WWW.MICROSOFT.COM Si Ud. es usuario de otros Sistemas Operativos, por favor, no deje de consultar con sus respectivos soportes tecnicos.

なんてまえおきで実行ファイルが添付された、あやしさ爆発のメールが来てたなあ (そもそも何語なんだ……)。

2000.05.10 再追記: Q224493 - XADM: Using ISSCAN to Remove Messages or Attachments Affected by a Virus の日本語版 KB が出てました。 J053554, [XADM] ウィルスを含むメールの駆除方法について。

2000.05.30 追記: 上記の謎メールはスペイン語と推測され、

Dear Client: We requested to update and/or to verify its Operating system for the correct operation of Internet from 2000 Year. If You are usuary of Windows 95 / 98 she can do it by means of the Software provided by Microsoft (c) called - Fix2001- that is associate in this email or can be unloaded of the Web site of Microsoft (c) HTTP://WWW.MICROSOFT.COM If You are usuary of other Operating systems, please, does not let consult with its respective tecnical supports.

という感じではないかとなゆたさんから情報をいただいた (ありがとうございます - 紹介がおそくてすいません)。

2000.05.31 追記: 関連記事が出ていた: 誰が発信したのか フィリピンLOVEウイルス大騒動・顛末報告。 なんか、いろんな意味で「すごい」状況ですね。

　2000.04.24 の [RHSA-2000:012] New openldap packages available に追記した。 Kondara MNU/Linux 1.1 用の fix が登場している。

　SuSE Linux 6.3 の gnomelib において、環境変数 DISPLAY が buffer overflow するという指摘。 RedHat 6.x, Linpus Linux 6.3, Debian GNU/Linux にはこの弱点はないという。 デモプログラムが添付されている。 手元の TurboLinux 6.0 Workstaton で試してみたけど、だいじょうぶみたい。

　2000.04.24 の [RHSA-2000:016-02] imwheel buffer overflow に追記した。 Kondara MNU/Linux 1.1 用の fix が登場している。

　ゲロ吐きまくっているマスメディアが「適用除外を」と言っても説得力ないわなあ。 かといって、きちんとジャーナリズムしているところまで叩かれるのは困るし、 個人情報保護がまともにされないのも困る。 どこでバランスを取るのかが難しいのですが、政府寄りになることだけは避けねばならない。

　SecurityFocus.com Newsletter 第 39 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 ここで紹介してなかったのは以下……のはず。

• Multiple Vendor popd Lock File Denial of Service Vulnerability

  qpopper はデフォルトで mail spool dir のはずなんだけどなあ。 from qpopper 2.53 INSTALL:

  f) POP_DROP - When qpopper runs, it moves your mailspool to a temporary location (.user.pop). The default location is in the mail spool directory. /tmp is an alternative but is considered to be a security risk. A system reboot usually clears the temporary .user.pop files. For performance reasons, a sysadmin who has 1000+ users can create a separate spool directory for qpopper files; /usr/spool/poptemp is preferable. Permissions should be the same as your mailspool with the same owner and group. Edit the value of POP_DROP in config.h.
  For Eg: #define POP_DROP "/usr/spool/poptemp/.%s.pop"

• CVS Local Denial of Service Vulnerability

  /tmp lock file attack ですか……。

• ZoneAlarm Personal Firewall Port 67 Vulnerability

• Solaris lpset -r Buffer Overflow Vulnerability

• Solaris lp -d Option Buffer Overflow Vulnerability

  上記 2 点、どちらも Solaris 7 の話ってことになってるんだけど、 107115-03 (Dec/20/99) や 107116-03 (Dec/14/99) では直らないということなのかなあ。 lp -d は 107115-03 で fix されてるっぽい書かれ方だけど。

• Solaris Xsun Buffer Overrun Vulnerability

  これも Solaris 7 の話ってことになってるんだけど、 108376-06 (Mar/31/00) や 108377-03 (Feb/08/00) では直ってないということなんだろうか。

• PostgreSQL Cleartext Passwords Vulnerability

  クリアテキストですか……。

• Atrium Software Mercur Mail Server 3.2 Directory Traversal

• IC Radius Buffer Overflow Vulnerability

• Symantec pcAnywhere Port Scan DoS Vulnerability

• Meeting Maker Weak Password Encryption Vulnerability

• AIX frcactrl Insecure File Handling Vulnerability

  AIX 4.3.x に含まれる Fast Response Cache Accelerator (FRCA) カーネルモジュールの制御プログラム frcactrl が suid root になってしまっているため、 FRCA がロードされた AIX において、local user は frcactrl を使ってシステムファイルの改変などが可能となるという指摘。 オリジナルは ISS Security Advisory April 26, 2000: Insecure file handling in IBM AIX frcactrl program。

  対応としては、chmod 555 などとして suid bit を取りのぞけばよい。

• McMurtrey/Whitaker & Associates Cart32 Remote Administration

  広く利用されている web ショッピングカートプログラム cart32 3.0 および 2.6 に backdoor があるという問題。 攻撃者は backdoor password を使って他のパスワードを知ることができる。 またショッピングカートの設定を変更することもできるので、任意のコマンドを実行することにより顧客情報などを得ることもできる可能性があるという。

  オリジナルはこちら: CISADV000427: Cart32 secret password backdoor。

  とりあえずの対応としては、solution にある cartfix で backdoor password を乱数化することにより無効化し、vendor patch を待つ。 とはいうものの、こういうのを仕様だという会社の製品を使いつづけるのは……。

  関連記事: 『クレジットカード番号を暴露する裏口が発見される』 『ショッピングカートソフトにサーバ侵入を許す裏口』

• Cisco IOS HTTP %% Vulnerability

  うーむ、脆弱……。

　1999.12.06 の Windows NT 4.0 ついに C2 適合! に追記した。 Windows NT 4.0 Hardware System Integrity Test Tool 2.0 が出ていた。

　AboveNet に対する攻撃の解析レポート。

　さらなる DDoS ツール mstream の解析レポート。 昔の DoS ツール stream2.c をベースとしたものだという。

　一発通ると、あとは書類審査だけで更新できるのかな?

　ANAマイレージクラブ の web インターフェイスには 4 桁のパスワードの入力が必要だが、ANA は初期値をとても身近な数字 (どんな教科書でも「ダメ」って書いてある値……) にして会員に配布しているという。 会員の人はどのようなものが初期値になっているかわかるわけなので (初期化して会員に送ってるんだもん)、初期値のまま運用している攻撃目標のプロフィールと会員番号さえわかれば、一撃でログインできてしまう。 ログインできると、攻撃者は本人になりすまして航空券を予約したりプロフィール自体を改変したりできてしまうのだ。恐しい。

　下手に書くと不正アクセス禁止法に触れるような気がするのでこれ以上書かないけど、インターネットサービスを行うというのにこのパスワードは、あまりにまずいんでないかい。 初心者ほど初期値のままだろうし。 数字 4 桁ってのがそもそもはずかしいぞ。 ちゃんと 8 桁くらいのランダムパスワードで初期化しないと……。

　TAKAGI さん情報ありがとうございました。

2014.02.04 追記:

　関連:

• JAL、マイルの不正ログイン発覚　アマゾンギフト券への交換一時停止 (Aviation Wire, 2014.02.03)

• 2014年2月3日のtwitterセキュリティクラスタ (twitterセキュリティネタまとめ, 2014.02.04)

• 『完全にお前たちに責任がある』JALマイレージ不正アクセス判明に高木浩光先生が憤激 (NAVER まとめ, 2014.02.04) (魚拓)

• 「JALマイレージバンク」に不正ログイン、マイル盗む　数字のみパスワードの強化策は「検討していない」 (ITmedia, 2014.02.04)

  　同社はメールとWebサイトを通じ、全ユーザー2700万人にパスワードの変更を依頼。JALマイレージバンクのパスワードは数字6ケタだが、数字だけのパスワードが脆弱という認識は「ない」（同社広報部）としており、ケタ数を増やしたりアルファベットを加えるなどの強化策は「検討していない」という。

• JALとANAのセキュリティの杜撰さに高木浩光先生が憤怒の狼煙を上げる (山本 一郎 / Yahoo, 2014.02.04)

2014.03.11 追記:

　ANA も攻撃された模様。

• ANAマイレージクラブ特典「iTunesギフトコードへの交換サービス」一時停止と会員パスワード変更のお願い (ANA, 2014.03.10)。パスワードの変更を呼びかけるも、選択できるのは数字 4 桁限定のままの模様。

• ANAも不正アクセスでマイル交換被害　iTunesギフトへの交換停止とパスワード変更を呼びかけ！ (traicy, 2014.03.10)

• 全日空のマイル ギフト券に勝手に交換 (NHK, 2014.03.11)

• ＡＮＡマイル、不正交換被害　６５万円分奪われる (朝日, 2014.03.11)

• ANAマイレージクラブへの不正ログインで112万マイルが詐取、住所なども閲覧可能に (日経 IT Pro, 2014.03.11)

• 徳丸　浩 @ockeghem さんのツイート:

  ANAは、今になってパスワード変更要請するのではなくて、JALの事件があったときに「いつ事件があってもおかしくないので、今のうちにマイルを消費しておいてください」と呼びかけるべきだったな。僕はANAのマイルがあったので食べ物を頼んだ･･･あれ、早めに食べないとなw

  — 徳丸　浩 (@ockeghem) 2014, 3月 11

2014.03.17 追記:

　関連:

• ANAの不正ログイン事件について徳丸さんに聞いてみた (徳丸浩の日記, 2014.03.13)

• ANAマイレージクラブのログインを少しでも安全にする運用を考えてみたが見つからない (徳丸浩の日記, 2014.03.17)

　Eudora for Windows は実行ファイルが添付されていると、これを実行させるときに警告する。ところが、 この実行ファイルを示している .lnk ファイル (ショートカット) を添付し、これを実行させるという場合には警告しない、という指摘。 さらに、.lnk ファイルへのリンクを HTML のアンカータグ内に埋め込むことにより、ユーザをだまして実行させることが容易となる。

　オリジナルサイトはこちら: "Stealth Attachment" demo page。 How the "Stealth Attachment" trick works に弱点の詳細が示されている。

　対応としては、Eudora.ini の [Settings] セクションに WarnLaunchExtensions=exe|com|bat|cmd|pif|htm|do|xl|reg|lnk| を追加する。

2000.05.10 追記: クニリサーチからも情報が出ていた: Eudora Proのセキュリティホールについて

　2000.04.24 の RUS-CERT Advisory 200004-01: GNU Emacs 20 に追記した。 Slackware Linux fix 出てます。

　2000.03.27 の Multiple Linux Vendor gpm Setgid Vulnerability に追記した。 Slackware Linux fix 出てます。

　sendmail に付属の mail.local に 4 つの弱点。

1. e-mail に LMTP コマンドを含ませることができる

2. sendmail と mail.local の間でデッドロックが発生する

3. ユーザのメールボックスを破壊することができる

4. ユーザのメールボックス中のメッセージの e-mail ヘッダを変更できる

　問題 1, 2 は sendmail 8.9.x 以前において該当する。 FreeBSD 3.4-RELEASE/4.0-RELEASE もこれに該当だ。 問題 3, 4 は Solaris での sendmail 8.10.[01] に該当する。 2000.04.24 の unsafe fgets() in qpopper にとてもよく似ている現象だ。

　これに対して、mail.local.c 8.145 から 8.146 への patch が投稿されている。 sendmail 8.10.1 の mail.local.c (8.143) にもそのまま適用できるようだ。

　RedHat Linux 6.2 に付属する Linux 仮想サーバ (LVS) ソフトウェア piranha パッケージ 0.4.12 の web ベース gui モジュール (piranha-gui) に弱点。 ドキュメント化されていない裏口パスワードが存在するため、これを知っている remote の攻撃者が LVS web 管理ツールにアクセスできてしまい、ここから任意のコマンドを実行されてしまう。 この弱点は、たとえ LVS が動作していなくても、piranha-gui パッケージがインストールされているだけで発生するという。

　これは 0.4.13-1 において fix されている。また、さらに新しい 0.4.14-1 においては、piranha の web gui はデフォルトで disable されている。

　関連記事:

• Red Hat Linuxにセキュリティ上の問題——Red Hatが対処
  (from ZDNet News, 2000年4月26日)

• レッドハットのLinuxにセキュリティーホール
  (from CNet News, 25 Apr 2000 13:10 PT)

　2000.04.21 の IE 5 security vulnerablity - circumventing Cross-frame security policy using Java/JavaScript (and disabling Active Scripting is not that easy) に追記した。 Guninski 氏による訂正フォローがされていた。

　IIS 4 においては、一旦ログオンできてしまうと、その後 15 分 (デフォルト) の間は、 たとえその途中でロックアウト状態になったとしてもログオンがひきつづき可能になってしまうという指摘。 Q152526: Changing the Default Interval for User Tokens in IIS で示されている UserTokenTTL (デフォルト 15 分、最小 30 秒) が関係しているのではないか、と指摘者の佐名木さんは推測している。

　これについて、Port139 伊原さんが現象を確認されている。 また、NTLM 認証はキャッシュされないとのことなので、IIS 管理者はこれらについて適時設定されたい。

　SecurityFocus.com Newsletter 第 38 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 ここで紹介してなかったのは以下……だと思う。

• QNX crypt() Vulnerability

• Dansie Shopping Cart 3.04 Multiple Vulnerabilities

• Netpliance i-opener Password Vulnerability

• Netware 5.1 Remote Administration Buffer Overflow Vulnerability

• Panda Security 3.0 Multiple Vulnerabilities

• HP JetDirect Portscan DoS Vulnerability

• AdTran MX2800 M13 Ping Flood DoS Vulnerability

• LCDProc Vulnerability

　坂井さんおそくてすいません。_o_

2000.05.02 追記: SuSE Linux Arbitrary File Deletion Vulnerability は 2000.04.25 の local user can delete arbitrary files on SuSE-Linux の話なので一覧から削除。

　BELL 研による buffer overflow attack 防御ライブラリ。 GNU LGPL 2 に従って再配布できる。 strcpy, strcat, getwd, gets, [vf]scanf, realpath, [v]sprintf について、 buffer overflow 対策版が同梱されている。 LD_PRELOAD 環境変数 (suid プログラムには使えない) や /etc/ld.so.preload ファイル (suid プログラムにも使える) に設定して使う。 x86 Linux で使えるようだ。

　2000.04.17 の MS00-025: Procedure Available to Eliminate "Link View Server-Side Component" に追記した。 RFP 氏による追記を追記。

　Pentium III の chip ID 機能は、次期 CPU には塔載されないそうです。 よかったね。

　2000.04.27 の 英諜報機関の極秘文書がネットに流出，削除要求を管理者が拒否 に追記した。 河上イチロー氏と Vlad 氏によるそれぞれ別個の翻訳版が登場している。

　2000.04.24 の unsafe fgets() in qpopper に追記した。 qpopper-3.0.1b2 で fix されている。

　xlockmore に buffer overflow する弱点があり、4.16.1 で fix されている。 最近のものに混入したわけではなく、昔からある bug のようだ。 4.09 版においても同様の部分があった。

　FreeBSD xlockmore ports の current 版はすでに 4.16.1 になっている。 3.4-RELEASE, 4.0-RELEASE についてくるのは 4.15 のようだ。 てもとの 3.4-RELEASE で xlockmore 4.16.1 package をつくったので、ほしい人はどうぞ。

2000.05.29 追記: NetBSD: NetBSD-SA2000-003 xlockmore package vulnerability.

2000.06.11 追記: TurboLinux: [TL-Security-Announce] xlockmore TLSA2000012-1.txt。 引用されている NAI COVERT Labs Security Advisory: Initialized Data Overflow in Xlock はこちら。

　2000.04.17 の imapd4r1 v12.264 に追記した。 fix 版 4.7c が登場している。

　2000.03.16 の Kerberos and Windows 2000 に追記した。 Windows 2000 Kerberos PAC Specification 1.0 が公開されていた。 しかも PDF 文書だ。