セキュリティホール memo - 2000.11

　署名があるということは署名があるということでしかないんだけどね。 それが真に secure であることを意味するわけではない。 VeriSign 高いし。

　得てして「意図しない DoS 攻撃」になっちゃうというのがありがちなパターンである。novice は異様に短いチェック間隔を平気で入力しちゃうから。 そんなことしても意味ないっつーに。

　「人権救済制度の在り方に関する中間取りまとめ」ができたが、各論は腰砕けだという指摘。 法務省が人権擁護に力を入れるわけもないからね。 自民党議員諸君のための「人権擁護」だけは別だけどね。 いちおう意見募集と公聴会をやるそうではあるが、反映されるかどうかはまた別だからね。 聞いたけど無視無視ってのはありがち。

　関連: 中間とりまとめを公表　救済機関創設を提言、法務省審議会。

　要は、学力が優れているからといって倫理的にも優れているわけではまったくないというだけの話なのだが、教育機関にしても行政機関にしても、人間的とか倫理的とかに優れていることを第一要件にしているわけじゃないからな。倫理ってけっこうブレがあるし。 半径 50m 以内でも (以下自粛)。

　IIS 5.0 に対して、MS00-086 の最新英語版 patch を適用しても、なおかつ類似の攻撃が可能だという指摘。 手元で英語版 Windows 2000 をインストールして試してみたが、確かにそうなる。 まいったね。

　これは、MS00-078/MS00-086 のこれまでの fix が小手先だけであり、本質的な部分が修正されていないということなのだろう。 いつまでたっても直らないのは困ったものだ。 世界中の IIS 管理者は GO を煮やしていることだろう (アーチーチーアーチー)。 まあ hotfix level ではしかたないのかもしれないけど。 SP level ではもうちっとましなことをやっておいてほしいものだ。 でもそうすると、得てしてアプリが動かなくなるんですよねえ。

　今回はじめて英語版 Windows 2000 を動かしてみたんだけど、 いやあ、これはいいですね。システムを全部英語版で組んでも問題ないような気が。 もっと入手しやすくしてほしいなあ。 日本語キーボードの認識のさせかたがよくわかんなかったので、おもむろに HHK をつないじゃったけど、どうすればよかったんだろう。

　2000.11.09 の メビウス着信ユーティリティをお使いのお客様へ セキュリティホールのお知らせ に追記した。 patch が出た。

　MS00-086: 「Web サーバーによるファイル要求の解析」の脆弱性に対する対策 の話。なるほど、cmd.exe の ACL を再設定はいいですね。 でもそれやっちゃうとまずい site もあるんだろうな。

　こういうことにならないように、\inetpub は OS とは別の disk に設置しましょう。UNIX で言う chroot() をしたような効果があります。 この話、IIS 4/5 checklist にも書いてないですね。 インストール時に別 disk にすることを推奨してほしいんですけどねえ。

　21 + 7 = 28 なので、明日には出るのかな? > 新 patch。

　ロータスノーツクライアント R5 独自の web ブラウザに塔載された Java VM に含まれる、ロータス独自の「ECL (Execution Control List)」機能に欠陥。 悪意ある web サイト管理者は、指定したパス名のファイルがローカルファイルシステム上に存在するか否かを知ることができてしまう。

　なんと、半年前に通知したにもかかわらず一向に改善されていないという。 ヒドいね。

　MS00-081: 「VM のファイルの読み取り」の脆弱性に対する対策、に関する詳細なレポート。 まずは一読されたい。 ここには個別具体的な EC サイト名、web メールシステム名は記載されていないが、 各自で調査されたい。cookie を使う web メールなら、その旨がどこかに書いてあるはずだ。 まあ、これについては Java VM を直せばいいのであるが。

　なお、MSKK 日本語 Bulletin では「Windows 2000 日本語版個別モジュールは、現在準備中です」となっているが、実はすでに配布されている。

　「Carnivoreには電子メールアカウントを持つユーザー全員を監視するだけの能力は備わっていない」けど「Carnivoreが収集した生のデータ」というものは存在するらしい。 詭弁にしか聞こえないんだが……。

　Guninski さんあいかわらずキてます。

• IE 5.x/Outlook allows executing arbitrary programs using .chm files and temporary internet files folder
  (Tue, 21 Nov 2000 01:51:43 +0900)

  IE 5.x/Outlook/Outlook Express に弱点。 MS00-037 で修正された .chm ファイル問題だが、実はこの fix を適用しても、 temporary internet files フォルダからは .chm を load できてしまう。 このため、

  1. <img src="foo.chm"> などとして temporary internet files folder に .chm ファイルを読みこませておく

  2. アクティブスクリプトから .chm を呼び出す

  ことで .chm を使った攻撃が可能となる。

  対応方法としては、アクティブスクリプトを停止する。

  Yoshida さんが 覚え書きを書いていらっしゃるので参照されたい。

• OBJECT DATA="text/html" may allow executing arbitrary programs in IE 5.5
  (Fri, 24 Nov 2000 00:50:49 +0900)

  local disk に入っている攻撃プログラムを起動するには、 window.showHelp("c:\\dir\\hostile.chm") か <OBJECT CLASSID="clsid:000000000-0000-0000-00000-000000000002" CODEBASE="C:\DIR\HOSTILE.EXE"> が有効だが、DIR を知る必要がある。 任意の攻撃プログラムを起動するには Temporary Internet Files フォルダを利用するのがやりやすいが、 Temporary Internet Files フォルダ内部のコンテンツは、 物理的にはランダムな名前のサブフォルダの中にあり、これによって 簡単に推測されることを防いでいる。 ところが、 <OBJECT DATA="file://C:/WINDOWS/Temporary Internet Files/Content.IE5/index.dat" TYPE="text/html" WIDTH=200 HEIGHT=200></OBJECT> (Windows 9x の場合: Windows 2000 では <OBJECT DATA="file://C:/Documents and Settings/username/Local Settings/Temporary Internet Files/Content.IE5/index.dat" TYPE="text/html" WIDTH=200 HEIGHT=200></OBJECT>) を使うことにより、ランダムフォルダを知ることができてしまうという。

  対応方法としては、アクティブスクリプトを停止し、 Temporary Internet Files Folder をふつうじゃない場所に移動する。 また、「ActiveX コントロールとプラグインの実行」を「ダイアログを表示する」や「無効にする」にしても検知したり回避したりできるとフォローされている。

　あいかわらずたくさん出てますね。今年はついに 3 桁突破か?!

• MS00-090: Patch Available for ".ASX Buffer Overrun" and ".WMS Script Execution"
  (Fri, 24 Nov 2000 00:13:31 +0900)

  Media Player 6.4, 7 に 2 つの弱点。

  ".ASX Buffer Overrun" 脆弱性

  6.4, 7 両者が該当。 Active Stream Redirector (.ASX) ファイルの処理において buffer overrun が発生するため、悪意ある .ASX ファイル設置者がユーザコンピュータ上で任意のコードを実行可能。

  ".WMS Script Execution" 脆弱性

  7 が該当。カスタムスキンファイル (.WMS) に script を含ませることができ、しかもこのスクリプトから ActiveX コントロールを実行できてしまう。 さらには、「スクリプトを実行しても安全だとマークされている」わけではない ActiveX コントロールまでもが実行できてしまう。

  つまり、.WMS 経由でなんでもやりほうだいになってしまう。 ウィルス屋さんに悪用されるのは時間の問題だ。

  発見者による詳細: .ASX については @stake Advisory Windows 2000 .ASX Buffer Overrun (A112300-1)。デモファイルも公開されている。 .WMS については Security flaw discovered in Windows Media Player 7: CAN BE BLOCKED BY MAIL ESSENTIALS EMAIL CONTENT CHECKING GATEWAY。

  日本語 patch はまだないようだ。

• MS00-089: Patch Available for "Domain Account Lockout" Vulnerability
  (Wed, 22 Nov 2000 12:17:17 +0900)

  Windows 2000 SP1 に弱点。 NTLM 認証においてパスワードロックアウトポリシーが動作せず、パスワード入力を何度でも行うことができてしまう。 つまり、brute force attack が可能となる。 ただし、次の条件全てに合致する場合に限られる:

  • Windows 2000 SP1 が Windows 2000 domain ではないドメイン環境 (NT domain のことか?) のメンバーである場合。

  • 何度でも行うことができるのは、 boot 後に該当する機械に正しく logon できたユーザのパスワード入力のみ。正しく logon できると、NTNM 認証の credentials が local machine に cache されてしまうため、 ロックアウトポリシーを無視した動作が起ってしまう。

  日本語 Bulletin MS00-089: 「ドメイン アカウント ロックアウト」の脆弱性に対する対策 も出ているが、正直言って何が書いてあるのかイマイチ理解できない。 英文オリジナル版を併読されることを推奨する。

  日本語 patch はまだないようだ。

• MS00-088: Patch Available for "Exchange User Account" Vulnerability
  (Fri, 17 Nov 2000 07:01:18 +0900)

  Exchange 2000 の初期出荷バージョンに弱点。 setup 時に作成されるユーザアカウントの名前 (EUSR_EXSTOREEVENT) とパスワードを知ることができると、その username/password で local logon できてしまう。 さらに、Exchange 2000 が domain controller にインストールされている場合、 この username/password で domain logon できてしまう。 いづれの場合も、EUSR_EXSTOREEVENT アカウントでは Exchange 2000 のデータにはアクセス不可能という。

  対応としては、EUSR_EXSTOREEVENT アカウントを削除するか、 パスワードを変更する。また、Exchange 2000 を新規インストールする場合は、 あらかじめ EUSR_EXSTOREEVENT アカウントを作成し logon 不許可とした上で Exchange 2000 をインストールし、インストール後 EUSR_EXSTOREEVENT アカウントを削除すればよい。

  Exchange 5.5、あるいは Exchange 2000 の初期出荷じゃないバージョン (Rev.A 以降) ではこの問題はない。 評価版と 2000 年 10 月の Select CD に含まれている Exchange 2000 も弱点ありだそうだ。

  英語版 patch を日本語版に適用可能だそうだ。 「Exchange ユーザー アカウント」の脆弱性に対する対策を参照されたい。

• MS00-080: "Session ID Cookie Marking" Vulnerability が Tue, 21 Nov 2000 10:32:33 +0900 に update されている。 IIS 4.0 for alpha および IIS 5.0 用が更新された。 更新対応の日本語版はまだ。 IIS 4 x86 patch はそのままで ok。

　煽りなのか、本当なのか……。こがさん情報ありがとうございます。

　plan 2 って、どの程度のレベルなのかな。ISS しておわりとか? plan 3 はラックさんなのね。

　昨日の JWNTUG OpenTalk in MSC 大阪でもこのあたりの話題が出ましたが、 タイムラグは近々改善される予定の模様です。

　……とか言っている間に、MS00-086: 「Web サーバーによるファイル要求の解析」の脆弱性に対する対策 の US 版はまたもや改訂されてます (Updated: November 21, 2000)。 「On November 21, 2000, we updated it again, to discuss two newly-discovered variants of the original vulnerability」 だそうで、 IIS 4.0 用の個別対応 patch も登場しています。 ただしこれの適用は NT 4.0 SP6a にしかできないようです。 日本語版 (新) はまだのようです。

　とりあえずなおしておこう。

　すばらしいです。これで MS JavaVM とオサラバできるかな。

　「12月8日公表」だそうで。「来年の通常国会」っていつかなあ。

　[aml 19807] 電子メール盗聴の新たな動向 によると、日本も『「フィルタリングされていない」インターネット・トラフィックを収集し、保存できる』システムへの移行を計画している……ように見える。

　そういえば、FERC が 11/19 に「監視カメラ」について報告していましたね。 11/19 分の調査ファイルは web にはまだ上がっていないようです。

　FreeBSD 4.x の OS 標準 gcc を ProPolice-enabled に変更する patch。 -fstack-protector すると stack overflow protect 機構が有効となる。 syslog に error を吐くといいかなーというのはやっぱりありますね。

　これとは別に、Herman ten Brugge Home Page に似たようなものがあるというフォローがされていた。 ProPolice のようにアーキテクチャに依存しないか否かは不明。

　FreeBSD 4.1.1 上で、propolice のページにあるようにつくった gcc だと __FreeBSD__ が 1 に define されちゃってこまったことになりました。 spec file で -D__FreeBSD__=4 になるようにしたら ok でした。 あと、__FreeBSD_cc_version とか __printf0like(fmtarg, firstvararg) で define される値もちがうみたいなんだけど、 これはとりあえずいいかなーとおもう (よくわかってない)。

　Kris Kennaway さんからこんなメールが:

• /usr/bin/doscmd を -fstack-protector してつくって doscmd `perl -e 'print "a"x4000'` すると propolice は検知しない。

• -fstack-protector してつくった static-link なライブラリと -fstack-protector してないコードを link しようとすると失敗する。

　手元でもたしかにそうなるなあ。とりあえず Etoh さんに振ってしまった……。

　実はこれまでも、TurboLinux は fix してないわけじゃなくて、 ftp.turbolinux.co.jp に行くと fix package が置いてあったりしたのですが、 ようやくまじめに告知することになった……のかなあ。

　link とかちゃんとつくってあって便利だし、 正式版も HTML/PDF で公開していただけるとありがたいなあ。

　D- という言葉だけがまた一人歩きしそうだなあ。 正当な評価なのかもしれないけど。

　やっぱ US は軍が強いしこういう場にもどんどん出てくるけど、日本では自衛隊が出てくると風当りがつよいかもしれないし、だからといって警察が出てくるとそれはそれでなにか違うような気もするし。 個人的には、自衛隊はもっと前に出てきてもいいと思ってるんだけど。 技本の人達とか、なにかやってるんじゃないのかなあ。

　そういえば、パケモンでおなじみの武田さんのところに情報化時代の航空自衛隊 on the Web があります。

　山本和彦氏による PGP のプレゼン資料。

　"Why Digital Signatures Are Not Signatures"、 「アナログ署名」の真実性を強調しすぎのような気もするけど、焦点は「I am not signing anything; my computer is.」だという点、「the gap between me and my computer」にあるのでしょう。 印鑑なんてゆーインチキなモノを信用する社会ではこういうレポートは出ないのだろうな。

　日本国の盗聴法に基づく電子メール盗聴の実体。 JANOG ML では「仮のメールボックス」計画に対して、高々 900 万な機械で性能的に大規模 ISP に通用するのか、という疑問が出ています。 はたのさん情報ありがとうございます。

　今日、盗聴法の廃止を求める国会議員と市民の集いというのをやってるのね……。

　FreeBSD Security Advisories。

• FreeBSD-SA-00:68 ncurses allows local privilege escalation (OS)

  FreeBSD 同梱の ncurses ライブラリに弱点。 カーソル移動機能の処理においてバッファオーバーフローするため、 邪悪な termcap ファイル (termcap エントリ) を敷設することによって 任意のコードを実行させることが可能となる。 少なくとも、lpc, top, systat が重大な影響を受ける。 lpc は sgid daemon, top/systat は sgid kmem だ。

  fix 要/不要: FreeBSD 3.5.1: 要だが存在せず, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。 FreeBSD 4.x においては、fix 版の ncurses に入れかえる。 3.x 用の fix は存在しないので、scan_ncurses.sh で調査後、必要なら chmod o-x などする。

• FreeBSD-SA-00:69 telnetd allows remote system resource consumption. (OS)

  telnet クライアントから telnet サーバ (telnetd) に対して引き渡される TERMCAP 環境変数を経由して、システム上のファイルの検索が可能となる。 これによって判明するのはファイルの場所だけだが、これを行うことによってサーバ負荷を増大させ DoS 攻撃をも可能としている。

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:70 ppp "deny_incoming" does not correctly deny incoming packets (OS)

  ppp(8) の NAT 機能において、"nat deny_incoming" コマンド (外部→内部のコネクションを拒否) が実際に意味するところが、4.0 と 4.1 の間 (2000-06-05) および 3.4 と 3.5 の間 (2000-06-03) で変化している。 変更後のコードでは、IPSEC などの「コードにとって理解できないパケット」については外部→内部に通過してしまっていた。 という理解でいいのかな。

  緊急対応としては、ipfw や ipf によるフィルタリングを実施する。

  fix 要/不要: FreeBSD 3.5, 3.5.1: 要, FreeBSD 4.1, 4.1.1: 要, FreeBSD 3.4 以前, 4.0, 4.2: 不要。

　2000.11.13 の 余計な機能がセキュリティ・ホールを招いていないか に追記した。 Mozilla においてはいろいろと設定できるようだ。 村脇さん情報ありがとうございます。

　MS00-086: 「Web サーバーによるファイル要求の解析」の脆弱性に対する対策 は、US 版は改訂 (Updated: November 10, 2000) されてますね。 しかし、もしかするとアレな人にとっては SP6a の適用というのはいちばんキツい話かもしれない。 まともなサイトでは適用しているだろうけど。

　ところで、日経さんはいつまで Netscape-Enterprise/3.6 SP3 を使いつづけるのだろう。それとももしかして、これは偽情報なんだろうか。

　きてますねえ、「同部会では今後は、インターネット上の有害コンテンツ規制に関しても検討していく」。もっとも ISP 的には「条例改正に対応して、サーバー設置場所を東京から大阪へと移設します」とかだったりして。 レンタルサーバのサービスメニューに「設置場所指定 (+2,000円)」がつくとか。 いやぁもうかりますなあ。

　ところで、具体的には販売方法についてどんな規制がつくんだろう。 いまどき、本屋で売ってなかったらインターネット通販とかコンビニ通販で買うだけだと思うけどなあ。 下手な規制は宣伝にしかならないと思うぞ。

　FrontPage Server Extensions ってけっこう穴だったりするから、バージョンチェックの際にはまりそう。

　ひどい、ひどすぎる。

　SP 出シタラ、ワスレズニ。 (入レタラじゃなかった……)

　BIND Version 8.2.2 patchlevel 7 の話。RedHat, Kondara, Debian は fix package 出てます。 LAC の日本語版も参照。

　FreeBSD Security Advisories + FreeBSD Ports Security Advisores。

• FreeBSD-SA-00:66 Client vulnerability in Netscape (ports)

  Netscape Communicator type=password Browser Buffer Overflow Vuln. の件だと推測。 4.76 でも直ってないから……。

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 要。

• FreeBSD-SA-00:65 xfce allows local X session compromise (ports)

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:64 global port allows remote compromise through CGI script (ports)

  global-3.55 cgi bug の件でしょう。

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:63 getnameinfo function allows remote denial of service (OS)

  英語オリジナル。BUGTRAQ bugid 1894。

  fix 要/不要: FreeBSD 3.5.1: 不要 (v6 support が入ってない), FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:62 top allows reading of kernel memory [REISSUED] (OS)

  OpenBSD format strings bug fix の件だと思う。 [REISSUED] される前の Advisory の日本語版。

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:61 tcpdump contains remote vulnerabilities [REISSUED] (OS)

  tcpdump AFS ACL Packet Buffer Overflow Vuln. の話。 [REISSUED] される前の Advisory の日本語版。

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:60 boa web server allows arbitrary file access/execution (ports)

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:59 pine4 port contains remote vulnerability (ports)

  fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 要, FreeBSD 4.2: 不要。

• FreeBSD-SA-00:58 chpass family contains local root vulnerability (OS)

  chpass format bug の話。 fix 要/不要: FreeBSD 3.5.1: 要, FreeBSD 4.1.1: 不要, FreeBSD 4.2: 不要。

　UNIX 版 IE5 での、既知の脆弱性の状況。 なにしろ UNIX 版 IE はマイナーな OS :-) でしか動かないので流行りませんねえ。fix も出ないし。 Linux 版が出たら話題になると思うけどねえ。

　紹介が 1 か月以上遅れてますね……すんません。

　This problem is fixed as of OpenSSH 2.3.0 だそうです。

　web page の Java, JavaScript (アクティブスクリプト)、ActiveX については「デフォルト off になっている」「必要となる domain についてのみ on にできる」になってればいいんじゃないですか? というわけで IE はやってやれないことはない。 Netscape 4/6 は失格。 ちなみに手元では w3m の使用頻度がどんどん上がっている。

　メールについては HTML 含め全部 off でいいですよね (原則として全て text として開く、明示的に操作した場合だけ HTML 表示)。 MS Office などのマクロ機能についてはなかなかむつかしいものがありますが (社内アプリで使ってたりするだろうから)、外部からやってくるものは wall とかで強制的にマクロをはぎとっちゃうとかいうテがあるかな。

2000.11.15 追記: Mozilla においてはいろいろと設定できるようだ。たとえば、 ドメイン毎に JavaScript の on/off を指定できる。

pref("capability.policy.myloosegroup.sites", "file:");
pref("capability.policy.myloosegroup.javascript.enabled", "allAccess");
pref("javascript.enabled",                  false);

とすると、デフォルトでは JavaScript off、 file: で始まるローカルファイルでは JavaScript on となる。 User Interface が実装されていないため、$MOZILLA/bin/defaults/all.js (これは UNIX の場合かな) を直接設定するなどする。 Configurable Security Policies にも情報があるようだ。 村脇さん情報ありがとうございます。

　SecurityFocus.com Newsletter 第 65 号日本語版 (テキスト, 英語版)。

　ZXFR DoS, "division by 0" DoS (signed zone って何だろう?) などが fix されています。 bind 8.x 系をつかっているところは入れかえましょう。 bind 8.x を見限って bind 9.x (最新は 9.0.1 - rc 取れました) や djbdns に入れかえるのもいいかもしれません。

　シャープの Note PC "メビウス" シリーズ (の一部) に添付されている「メール着信ランプユーティリティ」に弱点。 remote user が「メール着信ランプユーティリティ」の SMTP/POP3 proxy 機能を利用できてしまうため、SPAM の中継などに利用される恐れがある。 詳細は [fw-wizard:941] メビウス着信ユーティリティ を参照。 対応策としては、「メール着信ランプユーティリティ」を使わないとか、 ZoneAlarm などパーソナルファイアウォールや NT/2000 RRAS の netsh コマンドなどを使って SMTP proxy の port 8025 へのアクセスを制限するとかが考えられるだろう (私には「メール着信ランプユーティリティ」の詳細動作がわからないので外している可能性あり)。

　しかし、「このセキュリティホールは、直接インターネットに接続されていない環境（企業イントラネット、ファイアウオール内など）では全く危険性はありません」と言い切っちゃうのはまずいんでないの? > シャープ。

2000.11.28 追記: patch が出ました。 メビウスメール着信ユーティリティ機能搭載機種　一覧表 から入手できます。 参照: [fw-wizard:955] Re: メビウス着信ユーティリティ。 Office さん情報ありがとうございます。

　「自動アップデート」だと情報を得る前に update されちゃってるんですよねえ。 まあ、ソフトもデータも最新版を、ということなのでしょう。 世の中キビシイ。

　MS00-078 問題の IIS 4.0 での検証結果。 patch だが、IIS 5.0 の場合は MS00-086 fix の http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25583 に MS00-078 fix も含まれるので、こちらを適用しよう。

　Exchange 5.5 に弱点。 BUGTRAQ bugid 1869 によると、charset="" な mail を Exchange 5.5 に送ると Exchange が fail するという。 該当の mail を取りのぞいた上で Exchange を再起動すると元にもどるという。 Exchange 2000 では問題ない。

　日本語 patch はまだ。

2000.11.08 追記: Exchange 5.5 インフォメーションストア 修正プログラム に MS00-082 fix が含まれているそうです。川口さん情報ありがとうございます。

　Windows NT 4.0/2000 および SMS 1.2/2.0 に含まれるネットワークモニタ (Netmon) に弱点。Netmon が利用するいくつかの .dll (browser.dll, snmp.dll, smb.dll) にバッファオーバーフローバグがあり、攻撃パケットを流すことにより DoS の他任意のコマンドを実行させることも可能。 詳細は COVERT-2000-11 Multiple Network Monitor Overflows を参照。 日本語 patch はまだ。

　IIS 5.0 cross site scripting vulnerability - using .htw の話。

2003.04.15 追記:

　MS00-084 が改訂されている。実は Index Server 2.0 (NT 4.0 Option Pack) にもこの問題があり、patch が登場した。

• Microsoft Indexing Server for Windows NT 4.0 Cross-Site Scripting Vulnerability (Eiji James Yoshida さん)
• patch

　昔発見された IIS DoS attack と同じ事を、UNICODE 文字列にエンコードしてやってみたら効いちゃうという話。 どなたか手元で試されたという方いらっしゃいます? (やっぱお試し用 IIS 4 は必要だなあ)

　IIS 4.0 で <SCRIPT LANGUAGE="[buffer]" RUNAT="Server"> としたとき buffer に 2220 chars 以上入れると buffer overflow するという話。 MS00-080 や MS00-060 に fix が含まれているそうだ。

　Windows 2000 に弱点。 ActiveX コントロール sysmon.ocx (System Monitor) がバッファオーバーフローするため、 web ページや HTML メールを使って DoS 攻撃が可能。 さらに、任意のコードの実行も可能な模様。 Windows 9x/Me/NT ではこの問題は発生しない。 英語 patch はあるが日本語 patch はまだ。

　発見者による詳細: USSR-2000057: System Monitor ActiveX Buffer Overflow Vulnerability。 デモコードも公開されている。

　IIS 5.0 に弱点。 MS00-078 と同様に、remote から OS コマンドを実行させられる弱点があるようだ。 FAQ には The problem has to do with the way IIS handles requests for executable files scripts, batch files, compiled files, and so forth とあるので、実行ファイル名をほにゃららして呼ぶとビンゴになるのかな。 IIS 4.0 は関係ない。IIS 5.0 のみの弱点。

Microsoft strongly recommends that all customers running IIS 5.0 immediately apply the patch for this vulnerability. The patch also eliminates the "Web Server Directory Traversal" vulnerability discussed in Microsoft Security Bulletin MS00-078.

だそうなので、IIS 5.0 オーナーは今すぐ patch を。 日本語 IIS 5.0 用は http://www.microsoft.com/Downloads/Release.asp?ReleaseID=25583 から。 このように、当初から用意されていると非常に助かりますね。

　銀行のやつとかは 3 try くらいで lockout するんですよね、ふつう。 そういう前提で、「生年月日」「電話番号」など致命的なものでなければ 4 ケタでもまあ ok かなあとも思うのですが、 なにしろ致命的なパターンが多いわけで。 これは桁数を増せばいいという問題ではない。

　あと問題は lockout した後の対応で、きちんと本人確認をした上で password 再発行しなきゃいけないんですが、そういう教育が日本中の自治体職員に徹底されるかどうか。「住民全員顔見知りだから問題ないっす」という地域なら、それはそれでいいんですが……。 1 時間したら再 try できますなんてシステムだと最低ですが、まさか……。

　牧野二郎弁護士は電話番号を覚えられないのかな。 最近はケータイと呼ばれる電話機能つき携帯電話帳があるしなあ。 ケータイの番号は私もじぇんじぇん覚えられない (ボケが始まったのかも)。

　気持ちはわかるのだけど、私は違う見方を持っていたりする。

　Windows 2000 上で Windows NT 対応のアプリがまともに動かない理由の多くは、 おおもとのアプリのつくりが腐っていたからだと理解している。 Securing Windows NT Installation の状態でテストしてあったアプリがはたしていくつあったのか。 Windows NT C2 Evaluations の状態で動作するアプリがはたしていくつあったのか。 Windows 9x と同じつもりでつくってあるアプリの何と多かったことか。 今だに「Power Users 権限が必要です」という「Windows 2000 ウソ対応」なアプリも多い。 まともにつくってあれば、Users 権限で十分なはずだ。

　もちろん、そもそもの問題は Windows NT のデフォルト状態が致命的に腐っていたからであることは間違いない。 しかし、それを事あるごとに声高に叫んだメディアははたしていくつあったのか。 Securing Windows NT Installation の状態での主要アプリ動作テストを行ったメディアははたしていくつあったのか。 責任の一旦はメディア自身にあることを認識すべきだ。

　まあ、Windows 2000 に (ウソ対応ではなく) きちんと対応しているアプリなら、Whistler ではさくっと動くでしょう、きっと。

　どうもよくわからないのだが、これって全国どこでもなシステムなんですよね? 認証システムに対して「幅広い自治体の裁量権」を認めても全国どこでもなシステムとして成立するんですか? しかしまあ、フタを開ければ「誕生日と同じ」「電話番号と同じ」程度の人が続出するんだろうなぁという気はする。

　スマートカード認証をすればそれで安全になるか? 盗まれたら終りです。 ではスマートカードの有効化キーにパスワードを使うようにする? 結局パスワードにつきまとう不具合 (脆弱なパスワードを使う、同じパスワードを使いつづける、……) からは逃れられません。

　一方で生体認証というのがあるのですが、これはたいてい生体データを中央認証サーバに保管する必要がありますよね。 この場合のイヤなシナリオとしては、たとえばこんなのが考えられます。

• 認証サーバが crack されて認証データが盗まれる

• とある従業員が加害者となったため、警察から生体データの提出を求められる

　というわけで、個人的にはこんなのがそれなりかなーとか思ったり:

• スマートカード認証を使う。

• スマートカードの有効化キーに生体認証を使う。 ただし生体認証情報はスマートカード自身にのみ保存する。

　でも今回の話は政府システムなので、生体認証情報をスマートカードに保存する過程でデータを政府に盗まれる可能性を否定できない……からやっぱりやだな。

　むつかしいですよねえ。

　うぅ、ProFTPD 1.2.0 RC2 をそのまま勧めちゃうのはちょっとまずいんでないかい。 最新 CVS 版がいいと思うぞ。

　samba ネタが 3 つ securityfocus に上がっている:

• SAMBA SWAT Symlink Vulnerability

  日本 Samba ユーザ会が 2 か月も前に警告している Samba 2.0.7 日本語版におけるセキュリティホールについて に出てくる一時ファイルの話ですな。

• SAMBA SWAT Logfile Permissions Vulnerability

  これも同様。

• SAMBA SWAT Logging Failure Vulnerability

  SWAT への bad login が log されないという話。 これも日本 Samba ユーザ会で話題になったような気がするんだが……ちがったかな。

　ついに patch が公開されています。 ……が、egcs-20001101.tar.gz が get できないようです (T_T)。

　いくつか。

• MSへの不正侵入，「深刻でない」とはどういう意味？

  「深刻でない」わけはないよね。 何がやられて何がやられてないのかの check ってすごくたいへんだと思う。

• 米Microsoftへの不正侵入が残した教訓

  すくなくとも外→内へのコネクションは、必要最低限を除いて不許可にするのがふつうですよね。「必要最低限」の範囲はポリシー如何ですけど。 incident への対応には「ポリシーの見直し」が含まれるはず。

• 不正アクセス事件に使われたとされる「Ｗ３２／ＱＡＺ」ウイルスに注意!!

  IPA さんのところ、電話 DoS 攻撃受けてたりするのかしら。

• マイクロソフトへのハッカー侵入期間は12日間

  「侵入者を発見しました。トロイの木馬を設置しているようです。」
  「よし、chroot jail に入れてしまえ!」
  「Windows じゃできないんですけど……」
  「……だめだこりゃ」(c) いかりや長介
  ……という会話があったかどうかはともかく、どの程度の「監視」をしていたんでしょうね。 永遠に公開されないでしょうけど……。

  Interix をつかえば chroot jail つくれるんだろうか……。

• Kevin Mitnick氏，MS不正侵入事件めぐる情報に懐疑的

  原文: Mitnick apologizes to developers, discusses Microsoft hack

• MSへのハッカー侵入、徐々に事実が明らかに

  「攻撃」というよりは「スパイ」を想定していたのかな。

• MSへの侵入，社員の自宅マシンを経由？

　認証はやっぱり One-Time Password だなあと思う。

　あいかわらず rpc.statd と wu-ftpd は流行っているようですね。

　ADS (Alternate Data Streams) って実行できるんだ……へえ〜。 ADS の有無って、Tripwire とかで check できるのかしら。