セキュリティホール memo - 2000.07

　Java 脆弱性におけるマイクロソフト、アップルおよびその他の企業の対応についての文書。コメントもついているので、そろそろ紹介してもいいだろうと勝手に判断させていただきました _o_。

　今すぐだれでもできることとしては、たとえば Tell Us に「セキュリティ情報を広く正確に素早く公開してくれ」と書くとかかな。 英語な Tell US で直接 US Apple に意見も出せる。 日本は https:// だけど US の方は http:// なのね。

　2000.07.19 の MS00-049: Patch Available for "The Office HTML Script" Vulnerability and a Workaround for "The IE Script" Vulnerability に追記した。 Office まわりについては、英語版 patch をそのまま日本語版に適用可能だそうだ。

　Apache での BASIC 認証において、<LIMIT> でメソッドを制限すると、他のメソッドを用いたアクセスには BASIC 認証なしで ok になってしまう、という話。 うーむ、そう言われてみれば、動作としては間違っていないような気もしないではない……ってやっぱまずいよねえ。

　それにしても、https://www.netsecurity.ne.jp/ ってあいかわらず読みにくいぞ。行間が足りない。私の環境 (Netscape on FreeBSD) では、だけどさ。

　なんかズレズレって感じ。 「公表すると厨房が使う」という問題は確かに存在するのだけど、 それよりもっと重大な問題は、「各メーカは security fix の必要性を積極的には告知していないし、情報および fix を積極的に入手しようとしている人間にとってさえそれは簡単ではない」ところにある、と思う。

　たとえば 2000.07.27 の SPS Advisory #39: Adobe Acrobat Series PDF File Buffer Overflow において、 Adobe は情報ページ http://www.adobe.co.jp/misc/pdfsecurity.html を通じて問題の所在と対処方法を公開している。 しかしこれは十分な処置なのか、という問題の方がはるかに重大だと思う。

　Java でおなじみの電総研の高木さんは Adobe に対しいくつか問いあわせをされたそうだ。

• Acrobat Reader の利用者として Adobe に状況確認の電話をしたら、「Arobat Readerについては無償提供なので、電話での対応はしない」と言われたそうだ。 まあ、そんなもんなのでしょう。

• Acrobat の購入者として電話をしたら、次のようになったそうだ:

  「Acrobat 4.0を使用しているのですが、パッチをダウンロードして実行してもエラーが出ます。Acrobat 4.05が必要なのでしょうか？ それへのアップデータはどこでダウンロードできますか？」
  
  と問い合わせたところ、
  
  「Acrobat 4.05はCD-ROMでの提供となっています。Acorbat 4.0を購入され、登録された方から順次お送りしています。」
  
  とのこと。
  
  「今すぐ必要なので、パッチと同じ場所からダウンロードできるようにしてください。」
  
  と要求したところ、
  
  「それはできません。アップグレードセンターに電話をして、CD-ROMの送付を求めてください。」
  
  とのこと。

  ちなみに、4.0 から 4.05 へのアップデータは「登録ユーザに対して順次発送している」というのが Adobe の公式発表のようなのだが、高木さんの場合は「Adobe には "送付した" という記録があるにもかかわらず実際には送られていない」状態だったそうだし、私 (数か月前に Acrobat 4.0 登録はがきを出した) の手元にも今だに届いていない。そういう会社なのかどうかはともかく、 いまだに届いてないという場合、Adobe に文句を言うと送られてくるようだ。

• さらに、Acrobat 3.0 の利用者として電話をしたら、次のようになったそうだ:

  私: 「私は別のコンピュータでAcrobat 3.0を使用しています。4.0へのアップ
       グレードはしていません。今回のセキュリティ問題を解決するためには、
       どうすればよいですか？」
  サ: 「Acrobat 4.0にアップグレードして頂きます。」
  私: 「それは「買え」ということですか？」
  サ: 「そうは申しておりません。」
  私: 「Acrobat 4.0へのアップグレードは無償なのですか？？」
  サ: 「いえ、有償です。」
  私: 「じゃあ、「買え」と言っているのとどう違うのか説明しなさい。」
  サ: 「…」

　さらに高木さんは以前から、Adobe が Acrobat Reader などの登録ユーザ宛に送ってくる宣伝メールについて、宣伝はいらないがセキュリティ fix など重大な告知のみ送るような種類の登録についても検討せよと Adobe と交渉されていたのだが、いざ実際にセキュリティ fix が登場しても Adobe は mail 告知なんて一切してくれなかったわけで……。やっぱりそういう会社なのですかね。

　また、Bugzilla Bug 29079: file:///c|/con/con/con のように、せっかくコミュニティには秘密にして MS に知らせたのにセキュリティ問題として扱われず、そのため他者によって再発見され公開されてしまい、公開によって多大な反響が生じた結果ようやくセキュリティ問題として fix された、という事例だってあるわけで。 秘密にすればそれで万事 ok になるほど世の中甘くはないと思うのだけど。

2000.08.01 追記: port139 の伊原さんと Shadow Penguin Security の UNYUN さんが関連文書を書いていらっしゃる:

• 伊原さん: NT Security-B-) の「情報は公開されるべきか？（2000/7/28）」。

• UNYUN さん: SPS Colmun #1 「黙ってろと」はどういうことだ？。 金床さん情報ありがとうございました。

　「臭いモノにはフタ」ではだめなのだ。 モトから断たなきゃ。

　あ、そういえば昨日 Acrobat 4.05 が手元に届きました。 私の場合は、問いあわせ等一切していません。 櫻井さんによると、Adobe は「7/21 までにユーザー登録をした人には 7 月末までに発送する」と言っていたそうです。 櫻井さんはまだユーザー登録をしていなかったため Adobe へ電話で問いあわせ、 登録用紙等を FAX で送ってもらったそうなのですが、そこには「セキュリティホールの件が載っていた URL を教えてください」と書いてあったそうです。 オイオイ大丈夫か Adobe。 櫻井さん情報ありがとうございます。

2000.08.03 追記: Adobe から Acrobat 4.05 アップデート 2 の案内メールが来た。 「このメールは、お客様の便宜になると考え、 DM不要とお答えになったお客様にもお送りしております」だそうです。 すばらしい。

　2000.07.13 の ISSalert: Internet Security Systems Security Advisory: Insecure temporary file handling in Linux makewhatis に追記した。 VineLinux fix 出てます。

　Linux nfs-utils に含まれる rpc.statd に弱点。 remote から root 権限を得られる。 RedHat, Kondara, Debian などから fix が出ている。

　2000.04.24 の [RHSA-2000:016-02] imwheel buffer overflow に追記した。 結局 RedHat は imwheel を削除しろという Advisory を出した。

　セキュアなコードを書くための参考ドキュメントの URL。

　Windows 2000 の Windows File Protection を完全に停止するためのレジストリ設定。

　2000.07.23 の MS00-046: Patch Available for "Cache Bypass" Vulnerability に追記した。 CERT Advisory 登場、Force Feeding との関係、他力本願堂さんのドキュメント紹介。

　いまごろであれだけど、Linux 関連のセキュリティなドキュメントの URL。

　2000.06.30 の Force Feeding に追記した。 WinWrapper の結果を追記。 あと、これやっぱり MS00-046: Patch Available for "Cache Bypass" Vulnerability と同じ話みたいです。

　Windows 版 Adobe Acrobat Reader 3.0〜4.05 アップデート 1 までに弱点。 CID フォントのシステム情報の /Registry および /Ordering の処理において buffer overflow する弱点があり、 この弱点を用いると「現在リリースされているパッチを適用していない多くのWindows用Acrobatシリーズ (小島注: 3.0〜4.05 アップデート 1 まで) を全て攻撃対象とする単一のexploitを作成することができ」るという。 強烈である。

　この弱点を用いた、web ページでの PDF 閲覧や e-mail への PDF 添付による攻撃事例が発生するのは時間の問題だと推測する。 タイムリミットは近い。

　この弱点は Adobe Acrobat Reader 4.05 アップデート 2 (4.05c) において fix されている。 このアップデートは 4.0 以前には適用できないため、4.0 以前のユーザは 4.05 にアップグレードした後に 4.05 アップデート 2 を適用する。 詳細については、 http://www.adobe.co.jp/misc/pdfsecurity.html を参照のこと。

　なお、Windows でないプラットホーム (MacOS, UNIX など) ではどうなのか、についての情報は http://www.adobe.co.jp/misc/pdfsecurity.html にも明記されていない。

2000.07.27 追記: 友野大悟さんから、英語ページには

Macintosh and UNIX versions of Acrobat are not affected by this update. Acrobat 4.05 Update 1 remains the most current update for the Macintosh.

という記述があると情報をいただいた (ありがとうございます)。 友野さんは「私には、これが、脆弱性が無いことを意味するのか、 パッチができていないことを意味するのか判断できませんが…」 とおっしゃっているが、同感だ。 とりあえず Adobe の web master 殿あてに mail を投げてみた。

　SecurityFocus.com Newsletter 第 50 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 あまりに古い話は無視するとして (bugtraq bug database に入れるためだけにやっているような気が)、 紹介していなかったのは:

• Novell BorderManager User Impersonation Vulnerability

• Caldera kdm XDMCP Access Control Vulnerability

• LPRng Incorrect Installation Permissions Vulnerability

  LPRng の lpd は suid root にする必要はないのに suid でインストールされちゃってる、という話。 suid root を取れば ok。 3.6.15 より新しいバージョンで fix されている (3.6.15 は弱点入り)。

• WircSrv IRC Server Character Flood Denial of Service Vulnerability

• Akopia MiniVend Piped Command Execution Vulnerability

• tnef 0-123 Mail Decoder File Overwrite Vulnerability

• Microsoft Excel 97 / 2000 Register.ID Vulnerability

  おなじみ Georgi Guninski さんによる指摘。 Windows 9x/NT/2000 上の Excel 97/2000 に弱点。 REGISTER.ID 関数を使うと、エクセルワークシート (.xls ファイル) から DLL 内に仕込まれた攻撃コードを起動することができてしまう。 .xls を開いた時点で攻撃コードが起動され、 この際警告などは一切表示されない。 Force Feeding 的攻撃も十分考えられよう。 http://www.nat.bg/~joro/excel2.html にデモがある。手元の Windows 2000 + Excel 97 でも成功した。 有効な回避方法は存在しないようだ。

  ……と書いているうちに英語版 fix が出てますね。 Excel 2000, Excel 97。

  2000.08.18 追記: MS00-051: "Excel REGISTER.ID Function" Vulnerability としてアナウンスされた。

• Guild FTPD File Existence Disclosure Vulnerability

• Savant Web Server Buffer Overflow Vulnerability

• Cisco Secure PIX Firewall Forged TCP RST Vulnerability

  PIX 5.x 以前に弱点。 ニセの TCP Reset (RST) パケットを送ると、remote 攻撃者が PIX 経由のコネクションをリセットできてしまうという弱点。 この弱点を使った攻撃を実行するには ソース/ディスティネーション IP アドレス、ポート番号、 および PIX 内部のコネクションテーブルに関する詳細な知識が必要。 デモプログラムつき。

  ベンダー情報: http://www.cisco.com/warp/public/707/pixtcpreset-pub.shtml

• BB4 Technologies Big Brother Directory Traversal Vulnerability

  Big Brother 1.4H 以前に弱点。 これまた .. バグ。1.4h2 で fix されている。

• WFTPD Denial of Service Vulnerability

  WFTPD 2.41 RC10 以前に弱点。DoS 攻撃を受ける。 2.41 RC11 以降で fix されている……というのだが、 http://www.wftpd.com/ をみると

  The current release version of WFTPD and WFTPD Pro is 2.41 RC12, dated 7/18/2000. Since this version fixes a GPF that can be triggered by remote users (i.e. can be a Denial-of-Service attack), we recommend all users install it.

  なので、RC12 以降にしたほうがよさそうだ。

• Apache::ASP source.asp Example Script Vulnerability

  どうもよくわからんが、 Apache::ASP 1.95 で fix されているそうだ。

• NAI VirusScan/NetShield AutoUpgrade Executable Verification Vulnerability

  Netshield 4.5 と VirusScan 4.5 では、 AutoUpgrade で実行される SETUP.EXE に関する保護 (administrator のみがいじれるようになっている、とか) がきちんとされていないので、置きかえ攻撃などが実施可能でまずいよね、 という話だと思う。

• Sun Java Web Server Vulnerability

  CERT Advisory CA-2000-02 Malicious HTML Tags Embedded in Client Web Requests がらみの話。 Java Web Server: CERT Advisory CA-2000-02 をちゃんとやっておけば ok なのだと思う。

• Blackboard CourseInfo 4.0 Plaintext Administrator Password Vulnerability

• AMaViS TNEF Compression Support File Overwrite Vulnerability

• Deerfield WorldClient 2.1 Directory Traversal Vulnerability

  これも .. バグ。

• ICQ Web Front Remote DoS Attack Vulnerability

• Novell Netware 5.0 port 40193 Denial of Service Vulnerability

• RSA Security ACE/Server UDP Flood Vulnerability

• CVSWeb insecure perl "open" Vulnerability

  CVSWeb 1.86 や 1.89 では ok のようだ。 http://stud.fh-heilbronn.de/~zeller/cgi/cvsweb.cgi/ から入手できる。 FreeBSD 3.5-RELEASE および 4.0-RELEASE 以前はだめ。 4.1-RELEASE は 1.90 になっている。 Debian potato は 1.79 のようだ。 TurboLinux 6.1 Server は 1.80。 Vine や Kondara, Plamo, NetBSD, OpenBSD にはないみたい。

• WEBactive HTTP Server Long "GET" Request Vulnerability

　Microsoft Windows 2000 Telnet Server DoS Vulnerability の話。 Windows 2000 標準装備の telnet サーバに対して a particular malformed string (その正体は nc target.host 23 < /dev/zero) を送るとサーバが停止してしまう。

　英語版 patch が登場しているが、日本語版はまだ。

　fix されているのは:

• XFree86: Various nasty libX11 holes (XDMCP Infinite Loop Denial of Service Vulnerability, Multiple X application libX11 _XAsyncReply() Stack Corruption Vulnerability)

• XFree86 server overflow

• Nasty XFree Xserver DoS

• libICE Denial of Service Vulnerability

　OpenBSD 2.7 の XFree86 は 3.3.5 のようだ。 そのまま 3.3.6 にも適用できるんじゃないかなあ。

　SecurityFocus.com Newsletter 第 49 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 修正と誤訳の指摘が投稿されているので注意。 紹介していなかったのは:

• Netscape Professional Services FTP Server Vulnerability

• IRIX MIPSPro Compiler /tmp Filename Predictability Vulnerability

  これと下のやつのもと記事は Predictability Problems in IRIX Cron and Compilers (バグデータベース中の link は死んでる)。

• IRIX cron and crontab Predictable /tmp Filename Vulnerability

• Microsoft Windows 2000 Telnet Server DoS Vulnerability

  MS から Bulletin が出た。別記事にて。

• Microsoft Windows 2000 Remote CPU-overload Vulnerability

  バイナリ値 0 のストリームを送ると CPU 100% だそうで。 基本動作「不要なポートは閉じよ」が重要……なわけですが、TCP 21/23, UDP 53 はまともなサービスとしても必要だから困っちゃいますよね。

• Checkpoint Firewall-1 Remote Resource Overload Vulnerability

  こちらもバイナリ値 0 のストリームを送ると CPU 100% だそうで。 NT 版 Check Point Firewall-1 4.0/4.1 の SMTP Security Server で問題が発生。

• Sybergen Secure Desktop 2.1 Multiple Vulnerabilities

• vpopmail Format String Via User Input Vulnerability

  vpopmail 4.8 で fix されている。

• Checkpoint Firewall-1 Spoofed Source Denial of Service Vulnerability

  ソース IP アドレスとディスティネーション IP アドレスが同じである UDP パケットを受け取ると crash するそうだ。 そういうパケットは境界ルータでフィルタリングしよう。

• Sybergen Sygate Denial of Service Vulnerability

• Centrinity FirstClass Intranet Server Long Header Denial of Service Vulnerability

  1.5MB ですか……。そのサイズだけで十分 DoS のような。

• Webmin Multiple SSL Session Requests Denial of Service Vulnerability

  Webmin 0.80 で fix されているそうだ。

• LocalWEB HTTP Buffer Overflow Vulnerability

• Visible Systems Razor Password File Vulnerability

• proftpd Remote User Supplied Data Passed as Format String Vulnerability

  2000.07.13 の CERT Advisory CA-2000-13: Two Input Validation Problems In FTPD がらみな話。 1.2.0rc1 で fix されている。

• Oracle Web Listener Denial of Service Vulnerability

  .. バグものですね。

• cyrus With postfix and Procmail Remote Shell Expansion Vulnerabilities

  Cyrus IMAP server を Postfix と組みあわせて使っている場合の話のようだ。

• Solaris mail.local Content-Length Vulnerability

  Solaris 上で sendmail 8.9.x や 8.10.x の mail.local を -DCONTENTLENGTH つきでコンパイルした場合に問題がある、という話。 Solaris 純正の mail.local についての話ではない。 最新の sendmail 8.11.0 で fix されている。

• XFree86 4.0.1 /tmp Vulnerabilities

  mktemp() とかまわりにはいろいろと問題がありますねえ。

• CGI-World Poll It Internal Variable Override Vulnerability

• Novell BorderManager URL Rule Restriction Bypass Vulnerability

• Microsoft FrontPage Server Extensions 2000 Path Disclosure Vulnerability

  あれぇ? http://www.securityfocus.com/bid/1433 は「そんなもんねーぞ」と言われちゃうなあ。 Why to upgrade to: Front Page 2000 Server Extensions 1.2 の話だと思うんだけど。 下の bugid 1435 だけにしたのかな?

• Microsoft FrontPage 2000 Server Extensions DoS Vulnerability

  FrontPage 2000 Server Extensions 1.2 で fix されている。

• Multiple Vendor nvi Root Directory File Removal Vulnerability

  この /etc/init.d/nviboot script って Debian だけにあるのかな。

　いまごろで申しわけないが、SecurityFocus.com Newsletter 第 48 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 紹介していなかったのは:

• NetworkICE BlackICE High UDP Port Block Delay Vulnerability

• Netwin DMailWeb & CWMail Server Mail Relaying Vulnerability

• Netwin DMailWeb & CWMail Server DoS Vulnerability

• Multiple Xwindows Client for 9x / Nt / 2000 Default Export Vulnerability

• Netscape Enterprise Server for Netware Buffer Overflow Vulnerability

• Fortech Proxy+ Telnet Gateway Vulnerability

• LeafDigital LeafChat 1.7 DoS Vulnerability

• Floosietek FTGate Mail Server Vulnerability

• glftpd privpath Directive Vulnerability

• Flowerfire Sawmill File Access Vulnerability

• Flowerfire Sawmill Weak Password Encryption Vulnerability

• Dalnet IRC Server "SUMMON" Buffer Overflow Vulnerability

• HP DBUTIL.PUB.SYS Privilege Elevation Vulnerability

• Microsoft Windows 9x ARP Spoofing Vulnerability

• iMesh.Com iMesh 1.02 Buffer Overflow Vulnerability

• Multiple X application libX11 _XAsyncReply() Stack Corruption Vulnerability

  XFree86 4.0.1 で fix されているかどうかは未確認。 4.0.1 のリリースノートには次の項目があるが……。

  o Fixed recently publicized security issues in some of the X libraries.
  o Updates and bug fixes for some clients, including xedit, xman, xcalc,
    fstobdf, xdm.
  o Fix some xfs problems.
  o XTerm updates.  These include:
       o Improve logfile security.

• XDMCP Infinite Loop Denial of Service Vulnerability

  XFree86 4.0.1 で fix されているかどうかは未確認。 上記 2 点、どちらももと記事は XFree86: Various nasty libX11 holes。 OpenBSD については fix が出ている。

• Network Associates WebShield SMTP Filtering Rules Bypass Vulnerabilit

　なんとか明日中には sfn 49, 50 も載せたい。

　「朝日新聞社のasahi.com」さんよ、あんた

しかし、欧米に比べ日本の備えは心もとない。 例えば、２月施行の不正アクセス禁止法は、犯罪の証拠になる通信記録の保存を、インーネット接続業者などに義務づけていない。 ネット業界関係者は「不正を封じ込めるためにも再検討すべきだ」と指摘する。

って言うけど、欧米各国でも log 取得を義務づけるような不正アクセス対策法は存在しないし、log 取得義務づけは多くの「ネット業界関係者」と郵政省の猛烈な反対を受けて削除されたんだぜ。

　これ、ひと昔前の「日本には不正アクセス対策法がないから……」な記事と全く同じトーンで、なんだかなあという感じ。 もしかして、ケーサツ萌え萌えな人の陰謀なんだろうか。

2000.07.24 追記: 「朝日新聞社のasahi.com」はあいかわらず直接 link 禁止だそうですので、 アンカータグを削除したうえで URL を示すことにします。 link じゃないから連絡する必要ないよね。 「朝日新聞社のasahi.com」の「ハイテク犯罪にお寒い備えの日本　サミット」の URL は http://www.asahi.com/0722/news/business22009.html です。

　さらに腐っていることには、「朝日新聞社のasahi.com」の「著作権・リンク・制作クレジット」のページ (http://www.asahi.com/information/copyright.html) には

なお、引用には、「出所の明示」が義務づけられています。引用部分の著作者名と、原作品名を挙げておかないといけません。asahi.com の場合だと、最低限でも「朝日新聞社のasahi.com ○○年○月○日から」といったような表示が必要になります。

なんて書いてあるにもかかわらず、上記記事には執筆年月日なんかどこにも書いてないどころか、当の「著作権・リンク・制作クレジット」ページにすらそんなことはどこにも書いてないという……。 WWW にお寒い備えの asahi.com さん、記述を要求するならそれくらいちゃんと明記してよ。

　けんとさんご忠告おそれいります。

　2000.02.24 の Bugzilla Bug 29079: file:///c|/con/con/con に追記した。 ついに PC98x1 用 fix が登場。

　Outlook Express 4.0/4.01/5.0/5.01, Outlook 97/98/2000 に弱点。 HTML メールを使うと、cache 機構をバイパスして mail 受信者のディスクの既知の場所にファイルを作成することができる。 さらに、このとき HTML ファイルを cache 外に作成することにより HTML ファイル内部のスクリプトをローカルコンピュータゾーン権限で動作させることができ、これを使ってファイルを読み、外部へ送ることができる。 内容としては IE and Outlook 5.x allow executing arbitrary programs using .eml files に似ているようだが、いまいち自身が持てない。

　この弱点についても、 MS00-043 同様、IE 5.01 SP1/5.5 (Outlook Express 5.01 SP1/5.5) で fix されているという。

2000.07.27 追記: CERT Advisory CA-2000-14 Microsoft Outlook and Outlook Express Cache Bypass Vulnerability が出た。これを読むと、やっぱり Force Feeding の話のような気がする。 まあ、もともと IE and Outlook 5.x allow executing arbitrary programs using .eml files と Force Feeding は内容が似ているのだけど。 で、IE 5.5 on Windows 98 上で Force Feeding がうまく動かなくなる (無限 loop 状態となり mars.exe は起動できない) ことを確認した。

　また、他力本願堂さんの Windows Security コーナーに詳細を解説したドキュメントとデモが掲載されている。 今回の件だと、7 番目の「MHTMLファイルタイプのドキュメントに含まれたバイナリが閲覧者の意志に関係無く実行できる」がこれにあたる。 IE 用の他、Outlook Express 用のデモもある。 あわせて参照されたい。 他力本願堂さん情報ありがとうございます。

　Outlook Express 4.0/4.01/5.0/5.01 に弱点。制限はあるものの、 HTML メールに仕込んだ Active Script を使って、他のメールを読めてしまう。 2000.02.03 の Outlook Express 5 vulnerability - Active Scripting may read email messages の件だと推測する。 MS00-043 同様、IE 5.01 SP1/5.5 (Outlook Express 5.01 SP1/5.5) で fix されているという。

　2000.07.19 の MS00-043: Patch Available for "Malformed E-mail Header" Vulnerability に追記した。 Office さんが Aaron Drew 氏の警告文書の日本語訳などを掲載されている。

　SQL Server 7 に弱点。 制限された条件下において、悪意あるユーザが実行権限のないデータベース ストアド プロシージャを実行できてしまう。 日本語 patch はまだ登場していないようだ。

　日本語 Bulletin も参照。

　2000.06.30 の IE 5 and Excel 2000, PowerPoint 2000 vulnerability - executing programs と IE 5 and Access 2000 vulnerability - executing programs の話。弱点のあるソフトウェアとしては

• Excel 2000
• PowerPoint 97 and 2000
• Internet Explorer 5.5, 5.01 SP1, 5.01, 4.01 SP2

が上げられている……ということは、Access そのものをいじる予定はないということだろう。

　Excel および PowerPoint については英語版 patch が出ている。 日本語版はまだ。IE 4.x/5.x patch は英語版 patch すら出ていない。 Access の問題は、Access 97/2000 に関係する旨が明記されている。 この回避策としては set an Administrator password for Microsoft Access とされている。 ひこさかさんからも、sandbox mode = 3 は役に立たない旨の情報をいただいている。 http://www.kujira-kk.cc/~hiko/himatubushi/hide-ya-ne-chan/atonomatsuri1.jpg および http://www.kujira-kk.cc/~hiko/himatubushi/hide-ya-ne-chan/atonomatsuri2.jpg にその様子が示されている。ひこさかさん情報ありがとうございます。

　Eiji James Yoshida さんによる 解説文書も更新されているので、あわせて参照されたい (Yoshida さん情報ありがとうございます)。 また、SANS でも Dangerous Windows Flaw として情報が掲載されている。あわせて参照されたい。

2000.07.31 追記: Office まわりについては、英語版 patch をそのまま日本語版に適用可能だそうだ。 MS00-049 を参照。

2000.08.15 追記: IE 用英語版 patch は http://www.microsoft.com/windows/ie/download/critical/patch11.htm。 同 URL で日本語版 patch もそのうち提供されるはずだ。いつかは知らんが。

　CERT Advisory が出ている: CERT Advisory CA-2000-16 Microsoft 'IE Script'/Access/OBJECT Tag Vulnerability (LAC 日本語訳)。

　IIS 4.0, 5.0 に 2 つの弱点。

• "Absent Directory Browser Argument" 脆弱性は、 IIS 3.0 から IIS 4.0/5.0 に upgrade した場合に発症する。 3.0 と 4.0/5.0 との間の機能のちがいが反映されていないスクリプトが存在するため、 これに意図的に壊したリクエストを送ることにより DoS 攻撃が可能。 詳細はこちら: VIGILANTE-2000003: "Absent Directory Browser Argument" DoS

  IIS 4.0/5.0 新規インストールの場合は問題ない。

• MS00-031 "File Fragment Reading via .HTR" 脆弱性の新種。 ファイルの断片を読み出すことができる。 詳細はこちら: ISBASE Security Advisory (SA2000-02): IIS ISM.DLL truncation exposes file content

　日本語 fix だが、IIS 4.0 用 はすでに存在しているが IIS 5.0 用はまだだ。 日本語 Bulletin も参照。

　Outlook 97/98/2000, Outlook Express 4.0/4.01/5.0/5.01 に弱点。INETCOMM.DLL における Date: ヘッダの処理に buffer overflow する弱点があり、使用不能攻撃の他、任意のコマンドの実行が可能となっている。発見者による詳細情報などはこちら:

• Aaron Drew 氏: Buffer Overflow in MS Outlook Email Clients

• USSR Advisory USSR-2000050: Remotely Exploitable Buffer Overflow in Outlook "Malformed E-mail MIME Header" Vulnerability。 デモプログラムも用意されている。

• BUGTRAQ-ID 1481: Microsoft Outlook / Outlook Express GMT Field Buffer Overflow Vulnerability

• NTBUGTRAQ モデレータ Russ Cooper 氏によるまとめ: Malformed GMT Header in Outlook

　IE 5.01 SP1 あるいは IE 5.5 をインストールすると、新バージョンの Outlook Express のインストールとともに弱点がないバージョンの INETCOMM.DLL がインストールされるため fix となる。 ただし Windows 2000 では、IE 5.5 をインストールしても Outlook Express 5.5 がインストールされないため fix にならない。 近々に登場するはずの Windows 2000 SP1 に IE 5.5 / Outlook Express 5.5 が添付されているので、 これにて fix される。 IE の version up を伴わない fix も準備中。

2000.07.23 追記: Tea Room for Conference で、Office さんが Aaron Drew 氏の警告文書の日本語訳などを掲載されている (Office さん情報ありがとうございます)。 あわせて参照されたい。

　また、MS00-043 が改訂され、IE の version up を伴わない fix only patch も公開されている。 現在は IE 5.01 (Outlook Express 5.01) 用だけだが、近い将来 (いつだそりゃ) においては IE 4.01 SP2 用も用意されるようだ。 もちろん日本語版はまだだ。 そもそも日本語版 advisory もまだない。

　IIS から Security Alert が出ている: ISSalert: ISS Security Alert: Buffer Overflow in Microsoft Outlook and Outlook Express Mail Clients

• [IE55] 信頼済みサイトに追加されたセキュリティ保護されたサイトが不明なゾーン (困りますねえ)

• [IE51] クロスサイト スクリプト問題の予防策

  CERT Advisory CA-2000-02 Malicious HTML Tags Embedded in Client Web Requests で紹介している Information on Cross-Site Scripting Security Vulnerability の日本語版

　IE 5.01 SP1 / 5.5 で fix されている項目は次のとおり:

• IE5] 「フレーム ドメイン確認」問題のアップデート
  (MS00-033)

• [IE501]IFRAME の DocumentComplete がドメイン間のセキュリティ問題になる
  IE 5 Cross-frame security vulnerability using IFRAME and WebBrowser control のことか?

• Local Files May Be Accessed By Using JavaScript Linked to Image Tag
  (MS00-009 fix)

　fix されてるんだかされてないんだかよくわからん:

• Q247367: Programs and Services that Use SSL or SSPI May Not Work After You Install Internet Explorer 5.01

• MS99-050: Q246094: Update Available for "Server-Side Page Reference Redirect" Vulnerability

• MS00-011: Patch Available for "VM File Reading" Vulnerability

　あと、IE 5.5 をインストールすると、一般ユーザ権限では「信頼済みサイト」に http:// な URL を追加できなくなっているようなのだけど、これってこういうものなのでしょうか。

　2000.07.13 の CERT Advisory CA-2000-13: Two Input Validation Problems In FTPD に追記した。 OpenBSD ftpd の Linux port である ftpd-BSD について追記。

　Linux の man-1.5[efgh] パッケージに含まれる makewhatis に弱点。 makewhatis は一時ファイル /tmp/whatis$$ を利用するときに存在チェックをきちんとしていないため、symlink attack を受ける。

Affected Distributions/Versions:
Red Hat Linux 5.2       Vulnerable             Uses man-1.5e
Red Hat Linux 6.0       Vulnerable             Uses man-1.5g
Red Hat Linux 6.1       Vulnerable             Uses man-1.5g
Red Hat Linux 6.2       Vulnerable             Uses man-1.5h
Linux-Mandrake 6.x      Vulnerable             Uses man-1.5g
Linux-Mandrake 7.0      Vulnerable             Uses man-1.5g
Linux-Mandrake 7.1      Vulnerable             Uses man-1.5g
Caldera OpenLinux 2.3   Vulnerable             Uses man-1.5f

Additional Distributions/Versions that were tested and found to be not
vulnerable:
Debian Linux 2.1        Not Vulnerable         Uses man-db
Red Hat Linux 5.1       Not Vulnerable         Uses man-1.5d
Slackware 4             Not Vulnerable         Uses Perl script
Slackware 7             Not Vulnerable         Uses Perl script
SuSE 6.3                Not Vulnerable

　Plamo Linux は Slackware ベースなのでたぶん ok、 TurboLinux 6.0 Workstation に入ってるのは man-1.5ajp-7 だったのでこれもたぶん ok。 Vine-2.0 や Kondara-1.[12] はまずいかもしれない (未確認)。

2000.07.27 追記: VineLinux fix 出てます。 Kondara はけっきょくだいじょうぶだったのかな。

　wu-ftpd の site exec および BSD ftpd ベースの ftpd の setproctitle() まわりに弱点。remote user が root 特権を得られる。 wu-ftpd については 2000.06.23 の [ftpd 680] wu-ftpd 2.6.0 remote root exploit を参照。

　BSD ftpd ベースのやつについては、FreeBSD では 2.2.x 以降ですでに fix されているが、NetBSD や OpenBSD には弱点ありだ。 また ProFTPD pre10 以前や OPIE ftpd にも問題がある。 ProFTPD security page や OPIE ftpd patch を参照。 logdaemon ftpd には弱点はないそうだ。 あと、HP から HPSBUX0007-117 Sec. Vulnerability in ftpd が出てますので、HP-UX な人は参照を。

2000.07.14 追記: OpenBSD ftpd の Linux port である ftpd-BSD は 0.3.2 で fix されているようです。 Linux 屋さん、標準で wu-ftpd をつけるのはやめて、これにするのがよいのでは? Freshmeat は http://freshmeat.net/appindex/1999/10/09/939509389.html。 Freshmeat-J にはまだないようですね。

　たくさん出てる。

• FreeBSD-SA-00:24 libedit reads config file from current directory

  libedit would check for a .editrc file in the current directory の話。

• FreeBSD-SA-00:26 popper port contains remote vulnerability [REVISED]

  Security Vulnerability in Qpopper 2.53 (Upgrade to 3.0.2) の話だと思う。

• FreeBSD-SA-00:27 XFree86-4.0 port contains local root overflow

  XFree86 server overflow の話だと思う。 オリジナルでは 3.3.6 についても指摘されていたのだが……。

• FreeBSD-SA-00:28 majordomo is not safe to run on multi-user machines

  more majordomo brokeness の話。

• FreeBSD-SA-00:29 wu-ftpd port contains remote root compromise [REVISED]

  wu-ftpd 2.6.0 remote root exploit の話。

• FreeBSD-SA-00:30 OpenSSH UseLogin directive permits remote root access

  OpenSSH UseLogin Vulnerability の話。

• FreeBSD-SA-00:31 Canna port contains remote vulnerability [REVISED]

  Canna-cannaserver remote buffer overflow の話。

• FreeBSD-SA-00:32 bitchx port contains client-side vulnerability

  IRC クライアント BitchX に DoS 攻撃を受ける弱点があるという話。 patch もある: 1.0c16 用, 75p3 用

　2000.06.26 の FreeBSD-SA-00:23 Remote denial-of-service in IP stack に追記した。 Advisory 改訂版がリリースされている。

　IE 5.01 SP1 での変更点。

• 制限つきサイトゾーンおよびセキュリティ設定「高」のデフォルト値において、 アクティブスクリプトが無効となった。すばらしい。 ただし、Windows 9x/NT 4.0 上の IE 4.0 以上からの upgrade 時にはデフォルト設定が変更されない。IE 3 以前からの upgrade、および Windows 2000 上での upgrade 時にはアクティブスクリプト無効に変更される。 設定変更の際には Q255579 - Security Zones Set to Custom After Upgrading to Internet Explorer 5.5 を参照してくれ、だそうだ。

• IE 5.01 SP1 を Windows 2000 にインストールすると、 core browser, scripting, and Microsoft Outlook Express (OE 5.5) files をいきなりインストールしておわり (カスタム項目が出ない) だそうだ。 詳細は Q263180 - Description of Internet Explorer 5.01 Service Pack 1 Setup on Windows 2000 を。

• その他いろいろ。読んでみてね。

　もともとの原因は FirstNet への侵入を許した点にあるにもかかわらず、 Nike を訴えるとは。 なんかズレてるってかんじ。

　何をもってして十分というかはともかく、 不十分なセキュリティで訴えられるとなると、 次に起るのは「セキュリティが不十分なのはソフトウェアメーカのせいだ」と訴える、 のような気がする。 実際、我々日本語版ソフトウェアユーザにとっては「セキュリティが不十分なのはソフトウェアメーカのせい」ですし。 英語版 patch の提供によって問題の存在を明らかにしているにもかかわらず日本語版 patch を提供していないのですから、訴えられても文句は言えないでしょう。

　2000.06.30 の IE 5 and Access 2000 vulnerability - executing programs に追記した。 回避方法、Access 97 の状況、および日本語解説文書の紹介を追記。

　2000.06.08 の MS00-038: Patch Available for "Malformed Windows Media Encoder Request" Vulnerability に追記した。 日本語 patch 登場。

　SecurityFocus.com Newsletter 第 47 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。

• SuSE Linux aaabase User Account with /tmp Home Vulnerability

• Cart32 "expdate" Administrative Information Disclosure Vulnerability

• Panda Antivirus for NetWare Unauthenticated Admin Vulnerability

• IMP/MSWordView /tmp File Permission Vulnerability

• IMP/MSWordView /tmp File Deletion Denial of Service Vulnerability

• Tripwire 1.2 Long Filename Request DoS Vulnerability

  だから、tripwire 1.x はもう維持されてないんだってば。

• Network Associates Net Tools PKI Server 1.0 Buffer Overflow

• Network Associates Net Tools PKI Server 1.0 Unauthenticated Access

• WebBBS Web Server Buffer Overflow Vulnerability

• Alt-N MDaemon 2.8.5.0 UIDL DoS Vulnerability

• RedHat Piranha Virtual Server Package Plaintext Password

• HM Software S to Infinity Multiple Vulnerabilities

• libICE Denial of Service Vulnerability

• xdm/kdm/wdm Buffer Overflow Vulnerability

• Linux rpc.lockd Remote Denial Of Service Vulnerability

• CUPS (Common UNIX Printing System) Denial of Service Vulnerability

• GSSFTP Daemon Input Validation Vulnerability

• Netscape Professional Services FTP Server Vulnerability

  ……これ、なくなってますね (2000.08.02)。

• Netwin DMailWeb & CWMail Multiple DoS Vulnerabilities

• Linux gpm Denial of Service Vulnerability

• BEA Systems WebLogic Server and Express Source Code Disclosure

• SGI IRIX cvconnect File Overwrite Vulnerability

• KDE KMail Long Attachment Filename Denial of Service Vulnerability

• xinetd Connection Filtering Via Hostname Vulnerability

• gkermit setgid uucp Vulnerability

• AIX cdmount Insecure External Program Call Vulnerability

• Secure Locate LOCATE_PATH Validation Vulnerability

  Linux 方面に塔載されているようです。

• Allaire JRun 2.3.x Sample Files Vulnerability

　ssh 1.2.27 (以前?) を --with-kerberos5 で利用する場合に弱点。 ユーザが login すると、sshd はユーザの KRB5CCNAME 環境変数を none (という値) に設定してしまう。このため、Kerberos チケットはカレントディレクトリにあるファイル "none" に保存されてしまう。

　添付されている patch を適用するか、この問題に対処されている ssh 1.2.28 に移行する。 もちろん、--with-kerberos5 を使っていない人には関係ない。

　2000.05.11 の [JavaHouse-Brewers:33152] 警告: MacOS 版IE と MRJ のURLConnection にセキュリティホール に追記した。 fix 版 MRJ 2.2.2 が登場。