セキュリティホール memo - 2000.09

　Windows 2000 の telnet クライアントに弱点。 Windows 2000 の telnet クライアントはデフォルトで NTLM 認証が利用可能となっているのだが、この状態において、悪意ある web site は hash な NTLM 認証情報を入手できてしまう。 一旦入手できさえすれば、辞書攻撃や総当り攻撃するなどして hash から元パスワードを割り出すことができる。

　詳細情報はこちら: @stake Security Advisory: NTLM Replaying via Windows 2000 Telnet Client (A091400-1)。 攻撃シナリオとデモプログラムが添付されている。 win2ksecadvice に投稿された記事も参照。

　英語版 patch はあるが日本語版はまだ。 とりあえずの回避方法としては、NTLM 認証を使わないようにすればよい。 telnet プロンプトから unset NTLM する。 display コマンドで状態を確認できる。 なお、英語版 patch は 9/22 に再リリースされている。

　Windows 2000 の RPC サービスに弱点。意図的に壊された RPC パケットを受信すると RPC サービスが fail してしまい、DoS が成立。 MS は firewall などで ports 135-139 および 445 をブロックすることを推奨している。

　英語版 patch はあるが日本語版はまだ。

　内容はともかく、なんか読みにくいなあ。 原文がそもそも読みにくいので、翻訳のせいじゃないんだけど。 Tea Room for Conference の No. 126 の Office さんのコメントも参照。

　SecurityFocus.com Newsletter 第 59 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 #60 におなじものがまじってるらしいので、そっちで書きます。 16. としてあがっていた mgetty-sendfax .lastrun File Overwrite Vulnerability (bugid 1672) は空になってますし。

　いまごろであれだが、SecurityFocus.com Newsletter 第 58 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 書いてなかったのはこんなところでしょうか:

• Multiple Vendor Locale Subsystem Format String Vulnerability

  Linux 方面では glibc の upgrade という形で fix が出ている。 Solaris や IRIX の fix は……まだなのかな。

• WaveLink 2458 Authentication Vulnerability

• Microsoft Internet Explorer Navigate Function Cross Frame Access Vulnerability

  IE 5.01/5.5 の Web Browser コントロールに弱点。 既知パス名の local file を open した上で Navigate method で javascript: URL を使うと local コンテキストで JavaScript を実行させることができてしまうという指摘。 local file の読み出し、cookie の読み出しなどが可能となる。

• SunFTP Server Partial Input Denial of Service Vulnerability

• SunFTP Buffer Overflow Vulnerability

• glib unsetenv() Duplicate Entry Removal Vulnerability

  ld.so に影響するのがこれ。 各 Linux Distrib. の最新の glibc upgrade にはこれの fix が含まれているはず。

• Gordano NTMail Web Configuration DoS Vulnerability

• Screen User Supplied Format String Vulnerability

  screen 3.9.5 以前に format bug。 local user が root 権限を得られる。 FreeBSD, RedHat, Debian などから fix が出ている。 screen 3.9.8 で fix されている。

• LPPlus Permissions DoS Vulnerabilities

• LPPlus dccscan unprivileged read vulnerability

• CGI Script Center Auction Weaver Remote Command Execution Vulnerability

• University of Washington c-client DoS Vulnerability

• Intel Express Switch 500 Series Malformed ICMP Packet DoS Vulnerability

• QNX Voyager Webserver Multiple Vulnerabilities

• PHP Upload Arbitrary File Disclosure Vulnerability

  次の版 (4.0.3, 3.0.17) で直るようですね。 PHP Security Advisory - File Uploads も参照。

• Nathan Purciful phpPhotoAlbum Directory Traversal Vulnerability

• XMail Buffer Overflow Vulnerability

• Eudora Client and Path Disclosure Vulnerability

  path がわかっちゃうよ bug。

• Interbase SuperServer Denial of Service Vulnerability

• SuSE Apache WebDAV Directory Listings Vulnerability

  WebDAV つきの apache がまずいのかな。

　いまごろであれだが、SecurityFocus.com Newsletter 第 57 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 書いてなかったのはこんなところでしょうか:

• Intel Express Switch 500 series DoS

• vqSoft vqServer 1.4.49 DoS Vulnerability

• O'Reilly WebSite Pro Write Access Vulnerability

• Multiple Vendor mgetty Symbolic Link Traversal Vulnerability

  RedHat や Kondara は fix が出ている。

• Robotex Viking Server Buffer Overflow Vulnerability

• Kerberos KDC Spoofing Vulnerabilit

  MIT Kerberos 4/5 のみの問題のようだ。 ……ってたしか RedHat は MIT Kerberos だったような……。

• IPSWITCH IMail File Attachment Vulnerability

• GoodTech FTP Server RNTO DoS Vulnerability

• Microsoft Windows 9x / NT 4.0 / 2000 NetBIOS Cache Corruption Vulnerability

  Windows 9x/NT/2000 (Me は不明……まだ登場してなかった) の NetBIOS cache 実装に弱点。

  1. リモートからの dynamic cache entries の注入
  2. リモートからの dynamic および static (LMHOSTS ファイルに由来する) cache entries の削除

  が可能。要は、DNS spoof の NetBIOS 版みたいなことが可能だということだろう。

  回避策としては、Windows 2000 に upgrade して「Disable NetBIOS over TCP/IP」するのが最も有効だそうだ……ってなんだかなあ。 ふつうのところでは 「Block ports 135-139 and 445, both UDP and TCP」 がいいでしょう。

• GWScripts News Publisher author.file Write Vulnerability

• Helix Code "go-gnome" /tmp Symlink Vulnerability

• Stalkerlab's Mailers 1.1.2 CGI Mail Spoofing Vulnerability

• Xpdf Embedded URL Vulnerability

  PDF ファイル中の URL にコマンドを記述することにより、 xpdf 実行者権限でコマンドを実行させることが可能。 RedHat や Kondara は fix が出ている。

• Worm httpd Directory Traversal Vulnerability

• Eeye IRIS Buffer Overflow Vulnerability

• CGI Script Center Auction Weaver Directory Traversal Vulnerability

• Microsoft Outlook winmail.dat Vulnerability

  path 名がバレる系の弱点、という理解でいいのかな。

• Microsoft Windows 98 / NT 4.0 / 2000 File Extension Validation Vulnerability

  MS Office 系のファイルを open する場合は、拡張子ではなくファイルの中身を見ているという話。 「ウィルス入りの MS Office 文書を拡張子を変なものに変更して送りつけると、アンチウィルスソフトが見逃してしまう」というシナリオが想定できる。

  2000.10.23 追記: 大瀧さんから情報をいただきました。 Windows 95 の時点から確認されていたそうです。 MacOS 版 Excel ファイルを Windows に持っていって (MacOS だから拡張子なし) ダブルクリックしたら Excel が起動したそうです。 拡張子なしの他、システムに登録されていない拡張子が設定されていれば、 ちゃんと Excel が起動したそうです。

• Microsoft Outlook 2000 Vcard DoS Vulnerability

  Outlook 98/2000 が停止してしまうような vcard (.vcf) をつくれるという話。

　2000.09.26 の Cybozu Web Server dotdot bug and DoS exploit に追記した。 サイボウズ Web サーバー 2.0(0.5) で fix されている。

　MS Office 2000, Win98/Win2000 などに弱点。 MS Office のドキュメントファイルと同じディレクトリに riched20.dll あるいは msi.dll があると、ドキュメントファイルを開くときにシステムの DLL ではなくカレントディレクトリの DLL が開かれてしまう。 というわけで、毒入りの riched20.dll あるいは msi.dll を用意しておけばそれが実行されてしまう……という話。 Guninski さんによるデモ DLL が http://www.guninski.com/dll1.dll (ソースは http://www.guninski.com/dll1.cpp) にある (Guninski さん http://www.guninski.com/ 取ったんですね)。 一度 reboot したあと .RTF などを double click すると確認しやすい。

　Guninski さんは Risk: Medium というが、Windows 9x/Me みたいな OS では致命的な結果を招きかねないような。 MS は Even if the user could be persuaded to use Windows Explorer or Start | Run to open an Office document on a remote site, the trojaned copy of riched20.dll or msi.dll would only launch if a bona fide version was *not* already in memory とフォローしているが、それは言いわけにはならんだろう。 また、 これは MS Office に限らず Windows 全般に渡る問題であるとのフォローがされている。 なんと、DLL を読むとき、OS 標準ディレクトリより前にカレントディレクトリを走査するのが仕様だというのだ。 UNIX で環境変数 path の先頭に '.' と書くようなものである。

　関連:

• Exploit using Eudora and the Guninski hole (bugtraq, 2000.09.19)

  この bug を使うと、Eudora 4.3.2 ユーザに対して手軽に攻撃が可能だという指摘。 1.x-3.x も同様とフォローされている。 添付ファイルとして偽の RICHED20.DLL といっしょに RICHED20.DLL を使うようなファイルを添付して送ると……。 これと同様の e-mail client はかなり存在するのではないかという気がするが、どうだろう。 Russ 氏の Mitigators for possible exploit of Eudora via Guninski #21,2000 も参照。

• Source code for RICHED20.DLL, as posted in advisory SIMARD 20000919.1

  偽 RICHED20.DLL のソースコード。 いやはや、なんて手軽。

• Eudora + riched20.dll affects WinZip v8.0 as well

  WinZip 8.0 の internal viewer は RICHED20.DLL を呼び出すという話。

• FWD fw-wizard ML でも議論になっている。 三輪さん や 櫻井さん や Futagi さん や 田口さん などの発言を参照。 OS それ自体に問題がある、という認識で間違いないようだ。

　関連: WindowsのDLL呼び出し順序に由来するセキュリティ・ホール。

2000.10.12 追記: 中村正三郎のホットコーナーに、レジストリをいじると順序を無視して呼び出せるという話が出てきます。 櫻井さんの発言にある Q151646 によれば、 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\KnownDLLs に DLL を登録すればいいみたいです。

　というわけで試してみました。回避できているように見えます。

　MacOS 用の "セキュリティソフトウェア" OnGuard 3.2J に弱点。「Netscape のダウンロードを制限する」をチェックしても、 指定したユーザフォルダではなくデスクトップに保存されてしまう。 宮司さん情報ありがとうございます。

　RedHat 5.2 に含まれる glint に symlink bug があるという話。 6.0 以降には入ってないのかな。 Note that glint does not work with RPM 3.0 or higher. If you have RPM 3.0 or higher installed, just uninstall the glint package to remove this vulnerability だそうだ。

　CiscoSecure ACS for Windows NT Server に複数の弱点があるという話。 remote からの DoS、remote からの任意のコードの実行、remote からのパスワードのクリアが可能なようだ。 2.1(x), 2.3(3), 2.4(2) を含む、全ての CiscoSecure ACS for Windows NT Server に問題あり。2.4(3) 以降で fix される。CiscoSecure ACS for UNIX にはこの弱点はない。

　Cybozu Webサーバー2 に .. バグおよび DoS を受ける弱点があるという指摘。

2000.09.27 追記: サイボウズ Web サーバー 2.0(0.5) で fix されている。 http://www.cybozu.co.jp/notice1.html を参照。スギモトさん情報ありがとうございます。

　特定の状況下において、壊れた ESP/AH パケットが OpenBSD 2.7 の crash を招く。 patch が出ているので適用する。 errata も参照。

　DDoS ツール Stacheldraht と Trinity の新種 (変種?) が登場、という警告。 lsof の使い方の例にもなっているような。

　あいかわらず続く format bug。

• Format strings: bug #1: BSD-lpr
  (Tue, 26 Sep 2000 08:57:04 +0900)

  BSD lpr の lpd/printjob.c に syslog(LOG_WARNING, s); という部分がある。これを利用した攻撃はできないが、まずいコーディングであることは確か。 OpenBSD では 1.20 以降 (2000/06/28) で fix されているという。 FreeBSD だと 1.18 以降 (1997/12/02) で fix されているようだ。 3.x 以降ならだいじょうぶ。

• Format strings: bug #2: LPRng
  (Tue, 26 Sep 2000 08:57:43 +0900)

  LPRng 3.6.22 の format bug。 こちらは remote から LPRng 動作権限を奪取できる可能性がある。

• Format strings: bugs #3 & #4: ISC-dhcpd, ucd-snmp
  (Tue, 26 Sep 2000 08:58:12 +0900)

  ISC DHCPd 2.0 (詳細バージョン不明) や ucd-snmp 4.1.2 にもそれっぽいものがあるという指摘。

　PGP に対応したメーラにおいて Bcc: をどのように扱うべきかを述べている。

　2000.08.28 の CERT Advisory CA-2000-18 PGP May Encrypt Data With Unauthorized ADKs に追記した。 ソースネクストから「鉄壁セキュリティ対策Ver6.5.3」として販売されている PGP について、アップデートファイルが http://www.sourcenext.co.jp/download/pgp_hot_1.html から配布されている。高橋さん情報ありがとうございます。

　[JavaHouse-Brewers:36131] Netscape 4.74「Brown Orifice」セキュリティ・ホール問題に関するまとめ はおおげさすぎるんじゃないの? という話 (匿名希望さん情報ありがとうございます)。 私はぜんぜんおおげさだとは思わないのですが。 というわけで、これのつづきな記事にこういうフォローをしてみました。

　そうそう、Netscape 4.75 がらみではこんな話も。 やってくれますねえ。 Netscape 4.75 日本語版、ブックマーク文字化け問題が fix されてないんじゃ、 入れかえできないです。というわけで、もうしばらく 4.73 + Java=OFF でしのぐのかな。 Mozilla/Netscape 6 もけっこう安定してきてるし、そっちに行くのがいいかな。 でも <Q> のあつかいがなあ……。 あと、K-Melon が proxy 対応になってくれると助かるんだがなあ……あ、FAQ に書いてあるじゃん。

　某プロバイダの某氏から今日届いたメールはこの記事の記述を一部裏づけていたりする。 Linux ディストリビューションのデフォルトインストールは穴だらけのはず。 少なくとも外向きサーバには fix package を入れましょう。 今日も klogd の format バグ fix (RedHat, Turbo) が出てたりしますし。

　wu-ftpd や GNU glibc などにさまざまなモノに混入してい (た|る) ことが明らかとなってきている format bug の解説。 CERT/CC Current Activity を見ても、あいかわらず wu-ftpd attack とか流行ってるっぽいです。

　問題なのは、「セキュリティ・ホールが修正された最新版のソフトウエアを使用する」ようにするには

1. そもそもそういう問題があること、修正版をインストールする必要があることを知る必要がある

2. 最新版のソフトウエアを実際にインストールする必要がある

のだけど、これが両方とも困難であること、ですね。 なにしろ、ユーザ登録しても告知メールは来ませんし、インストールに至っては初心者 PC ユーザにとってはハードルが高いわけです。 私なんかは MS の Windows Update や MacOS のソフトウェア・アップデートのような機構が一般アプリにももっとあればと思うのですが、そういう機構は一方でプライバシー侵害だと指摘されたりもするわけです。 まあ、Windows Update 自体うまく動いているとは思えない (情報の update が遅い) し、MacOS のソフトウェア・アップデートは proxy 環境での動作がなんか変というのは困ったちゃんなんですが、狙い自体はいいと思うんですよね。

　2000.09.13 の 常時接続の宴 2000.09.13 に追記した。 w3m で 104japan が利用できないのはバグであるという情報をいただいた。

　2000.09.13 の 常時接続の宴 2000.09.13 に追記した。 104japan だが、「対策後」もしばらくは、実は個人情報を検索できていたようだ。

　プライバシーが話題になる一方で、利用者を追跡する技術の付加が。 MO は US ではほとんど売ってないんですよね。 ZIP に同様の話がもち上がったらおおさわぎになるような気がするんですが。

　この手の話題が続きますねえ。

　104 と同等のサービスを Internet で無料で公開するサービス 104japan 開始! というと聞こえがいいが、なんと「個人」の電話番号を無制限に検索可能にしてしまっていたという。 さらに、検索結果においては個人名全体に加え、電話番号や住所までが、本人には全く知らされないまま公開されてしまっていたという。 はまもとさん情報ありがとうございます。

　多数の抗議のためか、現在は「個人」検索は停止されているが、 「法人」検索は有効だ。 「法人」検索をしてみると表示される内容が、「個人」の場合にも表示されていたのだろう。 ただし、手元の w3m や Netscape Communicator for FreeBSD 4.73 からはうまく検索できなかった (日本語 EUC が通らない? てもとの Netscape Communicator for FreeBSD 4.73 だとフレームの高さが足りなくて入力フォームがうまく見えないし)。

　そういえば、ハローページの宅配をとりやめる (お金がかかるわりに使われてないから) とかいう話があるようだが、 こういう時代だという意味でももうやめたほうがいいのかな。

　関連記事: アドバンス技研がNTTの104サービスと同等の無料サービスサイトを開設

2000.09.14 追記: 104japan だが、「対策後」もしばらくは、実は個人情報を検索できていたようだ。 104japan のフォーム上では「個人」が選択できなくなっていたが、実は受け側 .asp では「個人」を示す KoHoKbn=0 パラメータを指定すると見事に個人情報が得られたという。 手元で試した限りでは、今現在はすでに対策されているようだ (KoHoKbn=0 でも法人と認識される) が、はたして今までにどのくらいの個人情報が流出したのだろう。 阿部さん情報ありがとうございます。

2000.09.18 追記: w3m で 104japan が利用できないのはバグであるという情報をいただいた。 fix patch がhttp://mi.med.tohoku.ac.jp/~satodai/w3m-dev/200009.month/1066.html にあるそうです。坂本さん情報ありがとうございます。

　いつも悪役のクッキーの他にもまだあった、という話。

　そういうものだと思って使うしかないということなのかしら。

　いまごろであれだが、SecurityFocus.com Newsletter 第 53 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 書いてなかったのはこんなところでしょうか:

• Weblogic SSIServlet Show Code Vulnerability

• Weblogic FileServlet Show Code Vulnerability

• Computer Associates ARCserveIT ClientAgent Temporary File

• HP-UX bdf Vulnerability

• Bajie Webserver Absolute Path Disclosure Vulnerability

• Bajie Webserver File Reading Vulnerability

• CVS Client Server-Instructed File Create Vulnerability

• CVS Checkin.prog Binary Execution Vulnerability

• Weblogic Remote Command Execution Vulnerability

• IRIX gr_osview Buffer Overflow Vulnerability

• IRIX libgl.so Buffer Overflow Vulnerability

• IRIX dmplay Buffer Overflow Vulnerability

• IRIX lpstat Buffer Overflow Vulnerability

• IRIX inpview Race Condition Vulnerability

• Apache Tomcat 3.1 Path Revealing Vulnerability

• Apache Tomcat Snoop Servlet Information Disclosure Vulnerability

• Norton Antivirus with Novell Client Autoprotection Disabling

• Check Point Firewall-1 Unauthorized RSH/REXEC Connection

• NAI Net Tools PKI Server strong.exe Buffer Overflow Vulnerability

• NAI Net Tools PKI Server Directory Traversal Vulnerability

• NAI Net Tools PKI Server Format String Vulnerability

• GNU Mailman Local Format String Stack Overwrite Vulnerability

  PC-UNIX security hole memo にまとめてあるので参照されたい。

• IRIX xfs truncate() Privilege Check Vulnerability

• Cisco Gigabit Switch Router, Fast/Gigabit Ethernet

• IRIX mail Vulnerability

• Serv-U FTP Server Null Characters DoS Vulnerability

　いまごろであれだが、SecurityFocus.com Newsletter 第 52 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。 書いてなかったのはこんなところでしょうか:

• IBM WebSphere Showcode Vulnerability

• AnalogX Proxy DoS Vulnerability

• HP-UX 11.0 ftpd SITE EXEC Format String Vulnerability

• WFTPD 2.4.1RC11 Multiple Vulnerabilities

• SimpleServer WWW Directory Traversal Vulnerability

• Adobe Acrobat / Reader / Business Tools Buffer Overflow Vulnerability

  SPS Advisory #39: Adobe Acrobat Series PDF File Buffer Overflow の話。 「Macintosh 版と UNIX 版ではこの影響を受けない」は間違い。 少なくとも buffer overflow によるプロセス停止は発生するはずだ。 Adobe 自身がそう言ってるんだから。

• Roxen WebServer %00 Request File/Directory Disclosure

• OpenLDAP 'ud' Group Writable Vulnerability

• Linux gpm File Removal Vulnerability

• Multiple Linux Vendor pam Remote User Vulnerability

• GNU userv Service Program Environment Corruption Vulnerability

  gpm と userv は PC-UNIX security hole memo にまとめてあるので参照されたい。

　いまごろであれだが、SecurityFocus.com Newsletter 第 51 号日本語版 (英語原文、 日本語テキスト原文 (PGP 確認したい人用))。

　lynx for win32 でおなじみの千秋＠産業短大さんから (情報ありがとうございます)。gd のメモリ管理が poor なため、 たとえば gd つきの php3 において
　<?
　ImageCreate(5000, 100000);
　……
　?>
などとして巨大なメモリ (この例では 5,000 * 100,000 * 4 = 2,000,000,000 バイト) を要する命令を発行するとサーバダウンを引きおこし DoS になってしまう。 対策としては、千秋さんは gd-1.8.3 に対する patch を作成されているので、これを適用する。

　gd つきの PHP を開放している ISP などは注意されたい。

　富士通の電子メール/ニュース統合ツール tsworks 3.096 に弱点。 Subject: が 500 文字以上あるとき、reply あるいは forward を行うとバッファオーバーフローしてしまう。 これを利用すると、DoS の他、攻撃者が悪意あるコマンドを実行可能となる。 3.097 (まだ登場していない) において fix されるという。

　penetration technique research site の新着ドキュメント (PDF 文書)。 カーネルモードで動作する backdoor をユーザモードで動作するプログラムから発見するのは困難である、 ことが root kit と Tripwire での実例入りで解説されている。 Eiji James Yoshida さん情報ありがとうございます。 こういう意味でもやはり、やられたら clean install で復旧するのがいいですよね。

　そういえばこがさんから、侵入されてしまったらについて

侵入に気がついたら、まずは、ネットワークケーブルを抜く、です。 犯罪または被害の拡大を防ぐのが第一です。

次に、状況確認と状況の保存するようにします。

状況確認については Office さんも書いているのでいいでしょう。

重要なのは、問題の環境をつぶした「クリアインストール」をしないことです。 刑事事件に発展した場合、証拠隠滅扱いされかねません。 犯行現場の保存と考え方は一緒です。

解析するのであれば、問題の環境ディスクのコピーを作成し、 直接問題のディスク(マスタ)はいじらず、コピーを解析します。 マスタは警察に提出する必要がある場合があります。

というわけで、クリアな環境は別途作成することになります。

という意見をいただいています。 予備機があるとか予備 disk があるとか警察にとどけるつもりがあるならそれでもいいような気がしますが、おうおうにしてそういうわけではないような気がします (「予備 disk くらい最初から用意しとけよ」という意見はそれはそれであるでしょうが……)。 「とりあえず抜く」については個人的には賛成ですが、「状況確認」の一環としてあえてつなげたままにして監視する、という考え方もあるように思います。

　このあたりはやっぱり、各組織において「セキュリティポリシー」を策定し、 これに基づいて行動することになるのでしょう。

　MS Word 文書には link が埋め込めるが、これに 1x1 画像など「それとわからない」ものへの link を埋め込んでおくと、Word 文書を開いた瞬間に 1x1 画像へもアクセスされる。こうして、web サーバはその文書を何処で読んでいるかを知ることができる。 これが web バグ。 1x1 画像は十分小さいからユーザが気づくことはない。

　アクセス情報だけでも十分な track ができるが、さらに、このアクセスに cookie を結びつけることによって、 より効果的に Word 文書の利用状況を監視することができる、という。 Word の他、Excel 文書や PowerPoint 文書でも同様なことを実行できる。 「バグ」と言ってもプログラム上の間違いの話ではないので注意。 バグというより「伝書鳩」という感じがする。

　要は、(1) URL が埋め込めて、(2) ファイルオープンと同時にそれを処理する、 (3) 処理されていることがユーザレベルで判別できない (ダイアログ等が表示されない)、 ようであれば MS Word でなくても同様の弱点があるわけだ。 MS Office だけにとらわれると危険を招く。 Sun StarOffice や MP3 ファイルにおいても同様のようだ (フォロー1、フォロー2, MP3 はオリジナル文書にも指摘されている)。 また Adobe PDF の場合、Acrobat 4.x (PDF 1.3) によって実現した Acrobat Forms JavaScript を利用してイメージを inline 表示したり、 隠したフォームを使ってデータを送信できてしまうようだ。 インターネット時代の文書閲覧にはこういうリスクがあるということを認識しておくことが重要なのだろう。 Acrobat で JavaScript が動くなんて、今日まで知らんかった。

　関連記事:

• 『Word』文書の行方を監視する「ウェブ・バグ」

• Office文書に“Webバグ”

• 『マイクロソフト・ワード』などに文書追跡可能なバグ

• “Webバグ”の悪用回避は「技術的に困難」

　2000.08.16 の [LSD] IRIX telnetd remote vulnerability に追記した。 fix が登場。

　Windows 2000 の Still Image Service に弱点。 buffer overflow バグがあり、攻撃者が任意のコードを実行できてしまう。 そのため、local logon したユーザは Still Image Service の実行権限 (通常 LocalSystem) を得られる。 これは local logon したユーザにとっては事実上 admin 権限を得たに等しい。 Still Image Service はデフォルトではインストールされないものの、Windows 2000 ホストに デジタルカメラなどの still image device を接続すると自動的にインストールされてしまうという。なんて素敵。

　発見者による詳細: Windows Still Image Privilege Elevation (A090700-1)。 英語版 patch はあるが日本語版はまだ。

　MS Windows Media Services 4.0/4.1 に弱点。 ある種の壊れたリクエストを Media server に送ると競争状態 (race condition) が発生し、競争に勝つことができると Windows Media Unicast Service がダウンする。 英語版 fix は出たが日本語版はまだ。

　日本語 Bulletin も参照。

　IIS 4 に弱点。 ある間違った URL へのリクエストを受けると IIS が CPU とメモリーを食いつぶしてダウンしてしまう。 というわけで、remote から IIS 4 に対して DoS 攻撃が実施できる。 発見者による指摘: "Invalid URL" DoS。

　英語版 patch はあるが日本語版はまだ。 日本語 Bulletin も参照。

　MS Windows 2000 に弱点。 remote から RPC を用いて Windows 2000 のローカルセキュリティポリシーの一部を破壊し、ドメインに参加できなくしてしまえる。 また、ドメインコントローラがこの攻撃にやられると、誰も domain logon できなくなってしまう。 Wall などで RPC を閉じていれば、外部からの攻撃は防げる。 なんにせよ、この問題は SP1 で fix されているので、SP1 を適用しよう。

　参照: SP1なしのWindows 2000にセキュリティ上の問題——ネットワーク接続遮断の恐れも

　MS Money 2000/2001 に弱点。 Money ファイルにパスワードを設定していた場合、ある条件下においてパスワードが平文で記入されてしまう。 この条件をつくりだすには、Money ファイルが local computer に設置されており、かつ攻撃者が Money ファイルにアクセスできる必要がある。 remote からの攻撃はできない。また、ACL などにより攻撃者がアクセスできない場合もだいじょうぶ。 MS は、Money パスワード保護は ACL の代りではないと言っている。 まあそうだろうけど、平文で記入されてしまうのはまずいよね。

　日本語版 Money 2000/2001 においては、この弱点にはすでに対応済みだそうだ。 日本語 Bulletinを参照。

　IIS 4.0, 5.0 に CERT Advisory CA-2000-02 Malicious HTML Tags Embedded in Client Web Requests (クロスサイトスクリプティング、XSS) な弱点。 これの元文書は Georgi Guninski 氏の IIS 5.0 cross site scripting vulnerability - using .shtml files or /_vti_bin/shtml.dll。 .shtml あるいは /_vti_bin/shtml.dll (FrontPage extension が入っている場合) な URL 中に <SCRIPT>...</SCRIPT> を書いておく。 この link をたどると当然エラーとなるが、エラーページ中に SCRIPT が含まれてしまう。結果として、 URL 中に指定された web サーバのセキュリティコンテキストで script が実行されてしまう。 たとえば <a href="http://target/<SCRIPT>alert('document.domain='+document.domain)</SCRIPT>.shtml"">hoge</A> という link をクリックすると、表示されるエラーページのおかげで、 target のコンテキストで script が解釈・実行されてしまうのだ。 一見ブラウザの問題のように見えるが、実は IIS 側の問題なのだ。

　特に問題となるのは、target として信頼済みサイトゾーンやイントラネットゾーンの host が指定されていた場合だ。 インターネットゾーンにおいて script の実行を停止している場合でも、 信頼済みサイトゾーンやイントラネットゾーンのホストに対しては script の実行を許可している場合があるだろう。 そういう場合においても、 target が信頼済みサイトゾーンやイントラネットゾーンな link を設定すると、 信頼済みサイトゾーンやイントラネットゾーン権限で script を実行させてしまえるのだ。 とんでもない話である。

　/_vti_bin/shtml.dll については、FrontPage Server Extensions 1.2 で fix されているという。 .shtml については、英語版 patch は出ているが日本語版はまだ。 すでに日本語 Bulletin も出ているので、これも参照のこと。

2000.09.08 追記:

　状況を確認することができたので、上記記述をよりわかりやすくするため一部修正した。

2002.12.13 追記:

　Microsoft FrontPage 2000 Server Extensions for UNIX の一部のバージョンにもこの問題が含まれているようだ。 おまけに、弱点つきのサーバが Internet 中にゴロゴロ転がっている模様。

　最新の FPSE 2000 for UNIX は Service Release 1.2 (version 4.0.2.4222) なのだが、これに付属している mod_frontpage.c には FrontPage/4.0.4.3 とあり、この数字が外部には見えてしまう。このため、FrontPage/4.0.4.3 とあっても脆弱とは限らないし、安全とも限らない。shtml.exe に含まれるバージョン文字列を確認する必要がある。 Guninski 氏は IIS 5.0 cross site scripting vulnerability - using .shtml files or /_vti_bin/shtml.dll において FrontPage Service Release 1.2 fixes the bug と述べているので、FPSE 2000 for UNIX Service Release 1.2 (version 4.0.2.4222) が入っていればだいじょうぶだと思われる。逆に言えば、4.0.2.4222 より前ではダメだろう、と。参照:

• Tea Room for Conference No.1160

• 気になったネタのメモ（改） 2002-12-6-(Fri)のネタ (しかＰさんち)

• けんのぼやき: 2002-12-10 shtml.dll (tdiary.net)

　電総研の高木さんによる、 Brown Orifice と付随する話のまとめ (情報ありがとうございます)。 すばらしいデモプログラムも公開されているのでぜひ試されたい。 また、あわせて Netscape 4.74「Brown Orifice」セキュリティ・ホール問題意識調査が実施されているので、ぜひ答えられたい。 高木さんは「ふだんはセキュリティ情報などチェックしないような人」にこそ、このアンケートに答えてほしいと考えていらっしゃるので、宣伝手段を持っている人はどんどん宣伝してやってください。 ただし SPAM などの net-abuse な行為はだめよん。(^^)