Last modified: Fri Aug 22 21:52:38 2003 +0900 (JST)
総務省、無線LANインターネットのセキュリティガイドライン作成へ (INTERNET Watch)。
JPEG特許の解釈に異議あり 〜独ベルリン工科大学教授とJPEG委員会独支部 (INTERNET Watch)。
中国政府と反体制派、ネットをめぐる攻防は続く (WIRED NEWS)。
[aml 29591] ■西本願寺総局「国立追悼施設」問題■0 08。 ウーム、「新規」対応で「義務」だとは。これはびっくりトンデモだ。 議事要旨は 追悼・平和祈念のための記念碑等施設の在り方を考える懇談会 web ページで。いやぁ、これはスゴい。
防衛庁の教訓どこに リスト調査「問題なし」は疑問 (毎日)。 はじめに結論ありき、なんだろう。
日本版GPS衛星を開発、100億円弱を概算要求へ 4省方針 (毎日)。 「米国のGPS衛星と連携することで」という性格のものの模様。
Webブラウザーを含むソフト群「Netscape」v7.0の正式版がリリース (窓の杜)。 シェアがへなへなになってるらしいですが、まあ、現状ではしかたないですねえ。
Policy Manager ポリシーマネージャ Ver.1.1.2002083001 for Netscape 7 & Mozilla というものがあるそうです。正式 UI がいまだにないってのがそもそもアレなのですが……。
NTT東西は競争せよ 連名の意見書に情通審委員の怒り爆発 (毎日)。 大激怒〜。
住基ネット調査委員会、3日に初会合 総務省 (毎日) だそうで。
スパム急増——“軍拡競争”のジレンマ？ (ZDNet)。確かに増えてますねえ。
「なぜ米国は嫌われる？」 米国務省が会議を主催へ (CNN)。 とりあえずチョムスキー読みなさい > 米国務省。 (info from EVERYDAY PEOPLE)
〈ヤマガタ＋〉映画祭“Post Fiction!”（東京） の一環で、9/16 に「マニュファクチャリング・コンセント」が上映されるのだそうです。 また、新作映画 チョムスキー 9.11 Power and Terror は京都でも見れそうで、なにより。 京都朝日シネマ はアクセスしやすいみたいだし。 京都朝日シネマホームページには「オンライン割引チケット」もあるよ。
無線 LAN 読み読みツール一覧。
そうか、sigtool はそういう動作をしているんだ。参考になるなあ。 OpenAntiVirus の PatternFinder は自力で signature をつくれるようなので、併用するのがよいのかな。
WFP で保護されるファイルが何かを調べるツール。 sign 欄はまだ実装されていないそうです。 結果は CSV 形式でファイルに落とせるので、いろいろと加工できます。
手元の Windows 2000 Pro SP3 で試したら 2523 行出ました。
[aml 28279] CPSRの会員になりませんか も参照。そういえば、まだ加入してないんだった > 俺。
個人的には、本文よりもコラムが興味深い。
2002.08.29 の ネットワーク共有プロバイダの未チェックのバッファにより、サービス拒否が起こる (Q326830) (MS02-045) に追記した。ISS Security Alert。
インターネットセキュリティ関連の RFC 日本語訳 のページも模様替えされたのだそうです。FYI/BCP/全般……等の分類毎に整理されています。FYI や BCP 自体の説明は、ページ末にあります。
WindowsとLinuxのセキュリティ: 噂の真相とは？ (slashdot.jp)。 私のがたいした話でないのは確かですし、ラックの西本さんのお話 の方がはるかにおもしろいです。アンケート結果もそれを反映しています。
プレゼン資料をこちらから参照できるようにしておきました。
いろいろです。
IPv4 mapped address considered harmful
Possible abuse against IPv6 transition technologies な線のお話かと。どっちも itojun さん作の文書なんですが。
PHP: Bypass safe_mode and inject ASCII control chars with mail()
PHP 4.x (最新 4.2.2 含む) に弱点。 mail() に問題があり、 safe_mode オプションによる制限を突破できる他、 mail() の引数に制御文字を混ぜることにより、 ヘッダを含む 任意のコンテンツを含ませることができてしまう、という指摘。 フォロー も参照。
麗美さん情報ありがとうございます。
Fwd: [GENERAL] PostgreSQL 7.2.2: Security Release
PostgreSQL 7.2.2 登場。
The following buffer overruns have been identified and addressed:
... in handling long datetime input
... in repeat()
... in lpad() and rpad() with multibyte
... in SET TIME ZONE and TZ env var
だそうです。
SQL サーバねた:
Windows 98, 98SE, Me, NT 4.0, 2000, XP に弱点。Certificate Enrollment Control をある方法で利用すると、悪意ある web page や HTML メール送信者は、OS 上の証明書を削除できてしまう。
patch があるので適用すればよい。SmartCard Enrollment コントロール (Windows 2000/XP に同梱) にも同様の問題が発見され、あわせて修正されている。
IE 5.01 SP2 / 5.5 SP2 / 6.0 の 6 つの弱点が新たに修正された。
Gopher プロトコルハンドラのバッファオーバーラン。 Buffer overflow in MSIE gopher code の修正。MS02-027 では回避策を述べるのみだったが、今回はちゃんとした修正。また、MS02-047 を適用すると gopher は無効化される。再び有効にするには FAQ にあるようにレジストリを設定する。
レガシーテキストフォーマットの ActiveX コントロールのバッファオーバーラン。 Microsoft Internet Explorer Legacy Text Control Buffer Overflow (#NISR26082002) の話。
リダイレクトによる XML ファイルの読み取り。 GreyMagic Security Advisory GM#009-IE: Accessing remote/local content in IE の話。
ファイルのダウンロード元サイトの偽装。 詳細不明。
クロスドメイン照合の脆弱性の修正。 IE allows universal Cross Domain Scripting (TL#003) の話。
ローカル HTML リソースのクロスサイトスクリプティング問題。 MS02-023 では IE 6.0 のみが修正され、IE 5.01/5.5 には問題が残ったままだった。 今回、IE 5.01/5.5 にも修正が施された。
patch があるので適用しよう。
Microsoft Terminal Services Advanced Client (TSAC) ActiveX コントロール (デフォルトではインストールされていない) に弱点。 バッファオーバーフローするため、悪意ある web site や HTML メール送信者は TSAC がインストールされているクライアント上で任意のコードを実行させることが可能。 詳細: Microsoft Terminal Server Client Buffer Overrun (A082802-1)。
patch があるので適用すればよい。 クライアント側の patch は MS02-047 に含まれる。 MS02-047 は古い TSAC ActiveX コントロールを無効としてしまうため、 MS02-046 末尾の「警告」にあるように、クライアントとサーバ両方に patch を適用しないと正常に接続できない。 また、FAQ にあるように、Kill Bit を設定することによっても問題を回避できる。
Windows NT 4.0/2000/XP に弱点。SMB の実装に問題があり、特殊なパケットを投げると OS をハングさせることができる。詳細: CORE-20020618: Vulnerabilities in Windows SMB (DoS)。
NULL コネクションを禁止することで、匿名ユーザからの攻撃は回避することができるが、正規ユーザからの攻撃は回避できない。139/tcp, 445/tcp をフィルタしたり、Lanman サーバーサービスを停止することで回避できる。
patch があるので、これを適用すれば解決する。 exploit が公開されているので注意しよう。
ISS Security Alert: Microsoft Windows SMB Denial of Service Vulnerability。
ISS セキュリティ アラート: Microsoft Windows SMB におけるサービス不能攻撃の脆弱点 (ISSKK)。
Symantec 製品の Mac OS X 10.2 対応状況。 Norton Personal Firewall 2.0 の単体製品のみが「対応」で、 Norton Internet Security Ver. 2.0 同梱の Norton Personal Firewall 2.0 を含めた残りが「未対応」。 NAV 8.0.2 の対応予定は「10月中旬頃」だそうで。困ったもんです。
Pine Internet Security Advisory PINE-CERT-20020601:
Remote buffer overflow in resolver code of libc
話。CERT Advisory CA-2002-19 Buffer Overflow in Multiple DNS Resolver Libraries
では回避策として bind 9 を利用した local caching DNS server を経由する方法を提示していたが、この方法を利用しても、攻撃パケットがすり抜けてしまう場合があるようだ。August 27, 2002 の改訂において、CA-2002-19 は「Use of a local caching DNS server is not an effective workaround
」
として、この方法を明確に否定した。
というわけで、resolver update 必須です。へなへな。
itojun さんの BSD BOF での発表 (プレセン資料: BSD security update - BIND, OpenSSH、ログ) にもあるように、static link な package/ports や古い shared library、emulator などの地雷が埋まっている場合があるので注意しましょう。 たとえば FreeBSD の ports/linux_base-6 は現在 FORBIDDEN= "security bugs--see <URL:http://rhn.redhat.com/errata/RHSA-2002-166.html> and <URL:http://rhn.redhat.com/errata/RHSA-2002-139.html>" になってます。後者が resolver 話。
delegate 7.9.11 出てます。fixed CSS vulnerability とか fixed possible overflow on POST relay とか書いてあります。
マウスで本人確認 富士通研究所が「手のひら認証技術」を開発 (毎日)。 マウスにレンズがついている。レンズマウス。「グレー」や「第 2 段階」はあるんだろうか。
全行政機関の情報公開リスト作成状況 総務省が調査結果発表、 共有サーバーに情報公開請求者リスト 法務省や原子力安全委 (毎日)。 素敵ですね。
住民票コード配達終了の高知市 3.6％5137世帯が受け取り拒否 (毎日)。
「13.2％に相当する1万9116世帯には不在で届けられていないという。
(中略)
配達できなかった住民票コードは28日にも、郵便局から市へ返還され、一定期間保管した後、処分するという
」。
10% 越えているってのが……。
住基ネットへの慎重対応求める 杉並区の調査会が第1次報告 (毎日)。 まともな対応。
経済協力開発機構、「セキュリティの文化」の確立を目指す (ZDNet) のだそうです。
中国を混乱させる首脳人事 、 パレスチナ・アラファト官邸で考える (tanakanews.com)。
solution 4549: InterScan for Lotus Notes: WatchGuard社のFire boxを使用している環境でパターンファイル更新が失敗する (トレンドマイクロ)。
「WatchGuard社のFire boxの一部の機種は、InterScan for Lotus Notes専用のパターンファイル更新用URLがブロックされるように標準で設定されております
」
だそうで。なぜそんな設定がされているんですかねえ。
GNU Privacy Guard + IDEA, Tiger, and SHA-2 ページで GnuPG 1.1.91-nr1 が公開されています。 オリジナルの GPG にいろいろな拡張がされたもののようです。 (info from PGP 最新情報 )
コクヨとNTT、ネットカフェで“自分の環境”を再現 (日経 BizTech)。 「インターネットカフェなどにある共同利用パソコン」自体がとても危険だと思うのだが。
情報セキュリティ監査研究会の開催について (経済産業省)。 商務情報政策局長の私的諮問機関、だそうで。
Mozilla 1.1 出たそうです。
イラク作戦で米、電子機器破壊の「Ｅ爆弾」投入計画 (読売)。 EMP ? 結局 U.S. の本音は「新兵器のテストがしたい」んだろうなあ。
ペース・メーカーの利用者には事実を伝えるべきだ (日経 IT Pro)。 どう考えたって、テストした機種とその結果は全て公表すべきだろう。 厚労省はあいかわらずメーカ側の利便性しか考えていないという証拠がまた 1 つ。
[SECURITY] [DSA 159-1] New Python packages fix insecure temporary file use
[SECURITY] [DSA 158-1] New gaim packages fix arbitrary program execution
[SECURITY] [DSA 157-1] New irssi-text packages fix denial of service
[SECURITY] [DSA 156-1] New Light package fixes arbitrary script execution
[SECURITY] [DSA 155-1] New kdelibs packages fix several vulnerabilities
2002.06.18 (ワールドカップ 日本対トルコ戦が開催され、Apache の chunked encoding 穴が公開された日) に開催された、第 1 回 STPP セキュリティ対策セミナーの模様が公開されています。 個人的には、ラックの西本さんのお話がいちばんおもしろかったです。 トレンドマイクロの久保さんのお話の冒頭部分がなかなか興味深い……あら、その部分は削除されているみたいですね。うーむ。
JPCERT/CC の山賀さんのお話は非公開なんだ……。うーむ。
2002.06.19 にも書いていますが、Q & A で言った「本」というのは「プログラマのためのセキュリティ対策テクニック」のことです。/GS については 13 章に記述があります。 Visual C++ .NET セキュリティ機能に関する不正確な主張も参照してください。/GS は万能薬ではないので注意しましょう。 ……って、QA の部分って入っているのかなあ。Appendix は欠けてるみたいだし。 プレゼン資料は古いバージョンが使われてしまってるっぽいし。
通信傍受は、根本的に大きな問題を抱えています。もし、あなたが犯罪者で、逮捕が予想される場合、あなたは携帯電話で急いで弁護士に電話しませんか。弁護士と被疑者の間の秘密は侵されないことが訴訟法で担保され、被告の黙秘権も認められているのに、弁護士との会話の傍受が捜査当局に許されていれば、既存の法律とのバランスが取れないではありませんか。こういう問題は、依然解決されていません。
なるほど……。
ドイツでは、DNAデータが採取、記録されるのは重大犯罪の容疑者に限られていますが、英国では交通事故の容疑者でもDNAデータを取られ、蓄積されます。
UK こわーい。
2002.06.07 の Microsoft Internet Explorer 'Folder View for FTP sites' Script Execution vulnerability に追記した。Opera 6.05 で修正。
sendmail 8.12.6 が出たそうです。
抜群の走破能力を誇るロボット戦闘車輌が開発中 (WIRED NEWS)。 ターミネーターまではまだまだ長いみちのりが必要な模様。
「フォース」で輸送車をロケット弾から守る米軍 (WIRED NEWS)。自衛隊の戦車には爆発反応装甲 (リアクティブ・アーマー) はついていないと思うし。90 式は複合装甲みたいだけど。
さて、電気装甲という盾に対する新手の矛は何かな?
Harden-Mac メーリングリスト というものができたのだそうです。 エラーメールをひとつつくってしまった。ごめんなさい。
ふむむ……。FreeML は、管理者に手間をかけさせないようになってるんだなあ。ふむむむむ……。手元でも Mac OS X 10.2 アカデミックの見積りを取るか……。
って、いいかげん Windows XP を新マシンに入れないと、原稿が……。
LAC セミナー 『イントラネットのセキュリイティ対策 2002』、2002.09.09、東京都千代田区、無料。
INSI 第６回「情報セキュリティセミナー」、2002.09.25/26、東京新宿。1 日なら¥20,000、2 日なら¥30,000。 2 日目が興味深そうな気が。
社会復帰中。
ていうか、いまだに Klez いっぱいくるんですけど……。 WAKWAK は、 デフォルトで送信時の virus check がかかっているようですね。偉い。
8/23 から 8/26 まで、このページの更新はありません。
JP436478: Windows 2000 Service Pack 3 適用後に、Windows Update でエラーが発生、新規インストール時にひっかかりやすいようです。
UTF-8 対応 nkf の開発が進められているようです。オイオイ、Apache/1.3.4 って…… > tcp-ip.or.jp。
ひさしぶりに EFF をのぞいたら、 Lawrence Lessig <free culture> なんてのへの link が。 TAKE ACTION! SEND A MESSAGE: Copyright Holders Want to Hack Your PC! とかも出てます。
http://lessig.org/ ですか。
世界制覇を目指すセキュアなLinux OS (ZDNet)。なにしろ相手は NSA だし……。
penetration technique research site でパケット・ジェネレータ [ barrage ] が公開されています。 バラージの青い石 (ストーリー) とは関係あるのかな (たぶん、ない)。
「Important Security Information: Upgrade to File Transfer Manager 4.0 Today」 メール日本語訳 (Microsoft) 出てますね。
考えなしに特権動作プログラムをつくると、こんなところから crack されてしまう、という事例、なのだろう。Exploiting design flaws in the Win32 API for privilege escalation. Or... Shatter Attacks - How to break Windows. で事例として挙げられているのは NAI VirusScan v4.5.1 ですが、他にも Win32 API 'shatter' vulnerability found in VNC-based products という報告が出てきています。
Information About Reported Architectural Flaw in Windows (Microsoft) 登場。 Microsoft 製プログラムのいくつかにもこの問題が発見され、patch 製作中、の模様。
日本語版: 報告された Windows の構造上の問題に関する情報 (Microsoft)。 Tackling Two Obscure Security Issues (MSDN) の日本語版もぜひお願いしたいところですね。 って、これ、MSDN Code Secure コラムの最新版、なのかな。 来月には登場?
邦訳版登場: 2 つの目立たないセキュリティの問題に取り組む (MSDN)。
patch 登場: Windows WM_TIMER メッセージ処理の問題により、権限が昇格する (328310) (MS02-071)。
Microsoft Office 2000/XP、Money 2002/2003、Project 2002、Project Server 2002、ISA Server 2000、BackOffice Server 2000、BizTalk Server 2000/2002、Commerce Server 2000/2002、Small Business Server 2000 に含まれる Microsoft Office Web Components (OWC) 2000 / 2002 に弱点。OWC に含まれる ActiveX コントロールに問題があり、悪意ある web ページ・HTML メール作成者がスクリプトの Host()、LoadText()、Copy()、Paste() を利用してコマンド実行やローカルファイルの読み取りなどを行うことができてしまう。
問題の詳細については、Unpatched IE security holes の「Patched vulnerabilities」で Q322382 で修正されたことになってる点を参照するのがよいだろう。
patch があるので適用すればよい。また、Office XP については、最近登場した Office XP SP2 にこの修正が含まれている。
よくよく見ると、いまだに「現在セキュリティメーリングリストを停止しており、
(中略)メーリングリストの再開は追ってお知らせいたします
」なのね。
とはいっても、他の認証技術も「万全ではない，なりすましを許す可能性あり」ですからねえ。特徴を理解した上でつかいかたに気をつける必要があるのはなんでも同じなわけで。
ロシア当局がFBIのハッキングを非難 (CNET)、いろいろやっているんでしょうねえ。
R-Studio データレスキュー (SMI Soft)、日本で販売していたんですね。 日本語マニュアル まであるよ。(info from [port139:01455])
iモードは横断的な「ユーザー認証」を目指す (ZDNet)。 あたまがいたい……。
送電線電磁界の健康被害、可能性を50％以上とする公式報告書発表へ (WIRED NEWS)。米カリフォルニアの送電線の状況と、日本の送電線の状況って同じと理解していいんだろうか。
Opinion：アンチウイルスエンジンは1種類では不十分 (ZDNet)。 賛成だし私もそうしたいのだけど、「負荷が増える」「お金がかかる」をなんとかしナイト。 現状では、client と file server と gateway とで別種の AntiVirus 製品を使う、の方がより現実的なソリューションのような気が。
URLScan 2.5 が出たそうで。URLScan-SRP だと chunked encoding request を reject してくれるようです。
SecurIT-Advisory 2002-001: 秘密情報を含まないCOOKIEに頼ったアクセス制御方式の脆弱性 − 偽COOKIE送信による任意ユーザへの成りすましの問題 − (SecurIT)
唯一の自衛策は、利用するサイトにこの欠陥がないか自力で確認することである。
うーむ……。
このように、通常アクセスの際の挙動を見るだけで、安全であるか危険であるかを判断するのは、一般のユーザにとっては容易でないことかもしれない。
うーむ……。
vpn ドライバの修正モジュールを配布 - イニシャル・シーケンス番号の使用を強化 (symantec)
Security Advisory: Raptor Firewall Weak ISN Vulnerability の話。
[VulnWatch] @stake advisory: WS_FTP SITE CPWD Buffer Overflow vulnerability (a080802-1)
[VulnWatch] EEYE: Sun(TM) ONE / iPlanet Web Server 4.1 and 6.0 Remote Buffer Overflow
Sun official: Sun(TM) ONE Web Server Security Advisory: Buffer Overflow in Transfer Encoding。Sun(TM) ONE Web Serve 4.1 SP11 および 6.0 SP4 で fix されているそうで。
CERT Advisory CA-2002-26 Buffer Overflow in CDE ToolTalk
rpc.ttdbserverd の remote buffer overflow 話。 ENTERCEPT RICOCHET ADVISORY: Multi-Vendor CDE ToolTalk Database Server Remote Buffer Overflow Vulnerability
Oracle ねた:
PostgreSQL ねた:
Multiple Buffer Overflows in PostgreSQL (SecuriTeam)
Another Buffer Overflow Found in PostgreSQL (repeat function) (SecuriTeam)
Implementation of Chosen-Ciphertext Attacks against PGP and GnuPG (counterpane)
関連: PGPに理論的セキュリティーホールが存在、“ごみメール”には注意を (INTERNET Watch)、 OpenPGPに理論上のセキュリティホール (slashdot.jp)。
NSSI-2002-tpfw: Tiny Personal Firewall 3.0 Denial of Service Vulnerabilities
HTML 版:
テキスト版:
2002.07.23 の Vulnerability Note VU#458659: Microsoft Windows domain name resolver service accepts responses from non-queried DNS servers by default に追記した。企業セキュリティのベスト プラクティス - 名前解決の管理者権限 がめでたく日本語に訳された (すばらしい)。しかし……。
2002.08.09 の OpenAntiVirusと関連プロジェクト に追記した。自力で signature つくれるそうです。
[social-memo:19] 検閲ソフト: 日本インターネット協会の場合
検閲ソフト: インターネット協会の場合 (slashdot.jp) も参照。しかし、なぜ彼らは基準を公開しないんですかねえ。
[memo:4739] Fw: W3C Jigsaw Proxy Server: Cross-Site Scripting Vulnerab ility
Jigsaw と CERN HTTPD の CSS 問題。Jigsaw は 2.2.1 で修正されているそうです。CERN HTTPD は……21 世紀にはふつう使わないでしょう。
SQL Server 用の累積的な修正プログラム (Q316333) (MS02-043)
SQL Server 7.0/2000、MSDE (Microsoft Data Engine) 1.0/2000 の弱点。 発見者による情報:
Microsoft SQL Server Extended Stored Procdure privilege upgrade vulnerabilities (#NISR15002002A)
icrosoft SQL Server Agent Jobs Vulnerabilities (#NISR15002002B)
で、そのあと Arbitrary File Creation/Overwrite with SQL Agent Jobs (SQL 2000 and 7) (#NISR19002002A) なんてのも出てますね。
patch があるので適用すればよい。
接続マネージャの問題により、権限が昇格する (Q326886) (MS02-042)
Windows 2000 の弱点。local user が SYSTEM 権限を得られる。 日本語版 patch あり。
Content Management Server の未チェックのバッファにより、 サーバーが侵害される (Q326075) (MS02-041)
Microsoft Content Management Server 2001 の弱点。 日本語版製品は存在しないので、日本語版 patch もない。
MDAC 機能の未チェックのバッファにより、SQL Server が侵害される (Q326573) (MS02-040)
MDAC の弱点なのだが、SQL Server 7.0/2000 をインストールした環境でのみ問題が発現する。発見者による情報:
patch があるので適用すればよいが、適用前に JP436469 を読んでおくこと。
この欠陥は「SQL Server 7.0/2000 をインストールした環境でのみ」発現するのではなく、Windows 全般で発現することが判明。MS02-040 が更新された。
Ethereal 0.9.5 以前に弱点。ISIS プロトコル解析部でバッファオーバーフローが発生する。これを利用すると remote から Ethereal 動作権限 (root) で任意のコードを実行可能。0.9.6 で修正されているので入れかえる。
IE 5, 5.5, 6 の SSL 実装に弱点。 特定の条件において IE が CA 階層の確認をきちんと行わないという。 これと DNS 詐称を組みあわせることにより、偽の中間認証局を介した偽 SSL サイトを構築することが可能。 Netscape 4 や Moziila にはこの弱点はないという。
Microsoft は
報告された Web セキュリティの脆弱性に関する情報
に反論を掲載している。が、「攻撃のシナリオは限られています
」
という点は Microsoft 自身のプロダクト利用者ならデフォルトでヨワヨワだし
(参照: CERT Incident Note IN-2001-11: Cache Corruption on Microsoft
DNS Servers)、
「攻撃者の身元は容易に確認できます
」
は、そのような状況を未然に防止する役目を果すには不十分だろう。
その「身元」を詐称することだって不可能ではないだろうし。
最後の「ユーザーは常に事実を確認することができます
」
はひどい、シャレになってない。
Microsoft はこれを実行するユーザが何 % いると思っているのだろう。
関連報道: 米Microsoft、IEのSSL実装に「なりすまし」可能な脆弱性 (INTERNET Watch)
MS02-050: 証明書確認の問題により、ID が偽装される (Q328145) 登場。Windows NT 4.0 と Windows XP 用の patch が配布されている。 Windows 9x/Me, 2000 用などはまだ。
正式版登場: MS02-050: 証明書確認の問題により、ID が偽装される (Q328145) 。
CryptoAPI 内の証明書チェーンを構成し、確認する (CertGetCertificateChain()、 CertVerifyCertificateChainPolicy()、WinVerifyTrust()) API がこの基本制約フィールドをチェックし
ないという問題だったそうで。つまり、上記 CryptoAPI を利用する全てのアプリケーションで問題が発生する、と。 また、
CryptoAPI には関連していませんが、これと同じ問題が Macintosh 向けのいくつかのマイクロソフト製品にも存在してい
るために、Office 98/2001/v.X for Mac, IE for Mac (Mac OS 8.x/9.x 用, Mac OS X 用両方), OutlookExpress for Mac にも修正が必要。
Windows NT 4.0 と Windows XP 用に加え、Windows 98/98SE/Me 用 patch が新たに登場している。 まだ fix がないのは Windows 2000, XP 64bit, Office 98/2001/v.X for Mac, IE/OutlookExpress for Mac。 Windows 95 は……もうサポートされてないんでしたね。
MS02-050: 証明書確認の問題により、ID が偽装される (Q328145) が改訂。 Windows 2000 用 patch が新たに登場。まだ fix がないのは XP 64bit, Office 98/2001/v.X for Mac, IE/OutlookExpress for Mac。
また、この patch を適用することによる副作用が MS02-050 の「警告」欄に追記されている。patch を適用すると、 Microsoft 自身が利用している「ある特定の」デジタル証明書まで reject されてしまうため、実際には合格していても、「ドライバが Windows ロゴテストに合格していない」という警告表示がされる場合があるという。 この問題を修正する新 patch は現在開発中なのだそうだ。
Mac OS / Mac OS X 用 IE 修正版が新たに登場。 MS02-050 ページから入手できる。Mac OS 用は 5.1.6 に、Mac OS X 用は 5.2.2 になる。いいかげん、security fix じゃなくて機能向上版がほしいのだが……。
Outlook Express for Mac 修正版が新たに登場。 このあたり から入手できる。
Office 98/2001 for Mac 用 patch 登場。
『Microsoft 自身が利用している「ある特定の」デジタル証明書まで reject されてしまう』副作用のない patch が 2002.11.21 付で登場している。 匿名希望さん情報ありがとうございます。
Exploiting the Google toolbar (GM#001-MC)
google ツールバー 1.1.58 以前に多くの弱点。 悪意ある web ページ作成者により、google ツールバーへの入力を盗み見たり、 google ツールバーのオプション設定を制御できたり、 スクリプトを "My Computer" ゾーン権限で実行できたりする (任意のコマンドの実行、ローカルファイルの盗み出しが可能) という。
google ツールバー 1.1.59/1.1.60 で修正されているので更新する。
[NT] Internet Explorer Can Read Local Files (XML Datasource)
Repost: Buffer overflow in Microsoft DirectX Files Viewer xweb.ocx (< 2,0,16,15) ActiveX sample
Windows 2000 SP3、Windows XP SP1 では fix されているそうで。
File Transfer Manager をインストールしている人は今すぐ 4.0 に upgrade しましょう。%SystemRoot%\Downloaded Program Files\TransferMgr.exe が存在する人は File Transfer Manager をインストールしているのだそうです。 詳細は http://transfers.one.microsoft.com/ftm/install を参照してください。
関連報道: マイクロソフトの主要サービスにセキュリティー欠陥 (CNET)。
「Important Security Information: Upgrade to File Transfer Manager 4.0 Today」 メール日本語訳 (Microsoft)。これ、なぜ US では web にないんですかね。
Macromedia Flash plugin can read local files
悪意ある web ページから local file を読めてしまう模様。 Flashプラグインにローカルファイル参照可能な脆弱性 (slashdot.jp) あたりをどうぞ。6,0,47,0 で fix されているそうです。
official: MPSB02-10 - Macromedia Flash URL Modification Issue (Macromedia)
[VulnWatch] EEYE: Macromedia Shockwave Flash Malformed Header Overflow
official: MPSB02-09 - Macromedia Flash Malformed Header Vulnerability Issue (Macromedia)。 Flash Player が異常な Macromedia Flash ムービー (SWF) ファイルによって buffer overflow し、任意のコードが実行可能、ということかな。 6,0,40,0 で修正されている模様。上↑の問題の対応ができていれば ok。
2002.08.20 の NHK のクロスサイトスクリプティング問題 に追記した。関連報道、office さんのフォローを追記。
FreeBSD Security Advisory FreeBSD-SA-02:38.signed-error
The affected system calls (accept(2),
getsockname(2), getpeername(2), vesa(4) FBIO_GETPALETTE ioctl(2))
could be called with large negative
arguments, causing the kernel to return a large portion of kernel
memory
だそうで。
4.6.2-RELEASE では直っている。
イラク大使館、反体制派グループが占拠 ベルリン (asahi.com)。なんだかこのごろキナくさいなあ。
『メールウィルスチェックサービス』の提供開始について (TTNet)。
「本サービスを基本サービスとし、すべてのお客さまに対して無料でご提供することといたします
」
「お客さまのすべての送受信メールについて
(中略)ウィルスチェックを行います
」。
すばらしい。いいぞ TTNet。
[aml 29454] [Fwd: [pmn-ml 3277] 【シグロニュース第２４号】]。 『チョムスキー 9.11』観たいなあ。
[aml 29457] 米国の消防士がブッシュをボイコット。 さすが子ブッシュ、なんも考えてないし。
女性のためのセキュリティ講座: 個人情報管理術（連載第6回）。ゴミあさりは基本ですからねえ。
「SOHO」うたい詐欺まがい商法、高額教材売り付ける 経産省 (毎日)。 この手の話もなくなりませんねえ。 経産省が売りつけたわけではないので注意 (笑)。
米McAfeeがセキュリティ製品の新版を発表 (日経 BizTech)。 カタログスペック的には Norton やトレンドマイクロに追いついた、ってことなんだろうか。
トレンドマイクロ、SharePoint Portal Server対応ソフト (日経 BizTech)。 だそうで。
それにしても 情報処理学会、 ウィルス送り問題はいまだに「現在検討中」なんですかねえ。 シャレになってないと思うのだけど。 理事のみなさんには、リスクマネジメント最前線: 『謝罪』を成功させる3つの秘訣（連載第6回） (日経 BP) を一読されることを推奨しておこう。
理事会 は毎月 20 日のようだから、そろそろ 2002.07.20 分が出てくるのかな。 内閣府防災部門 のように先行版をすぐさま web 掲載するような動きはどこにもなさそうな「IT：情報技術に関する専門家集団」のようで。寒すぎ。
PGP が NAI から PGP Corporation に移管されて復活したそうです。 Windows XP や Mac OS X をサポートする PGP 8.0 が 2002.11 にも登場予定だそうで。 藤井さん情報ありがとうございます。
http://www.cla-ri.net/pgp/new.html はアンテナに入れておきます。
[connect24h:4599] 情報セキュリティ勉強会（第五回）のご案内。2002.08.24 13:00〜17:00 東北大学・川内キャンパス。
他力さんによる 5 連発。
関連報道: ＮＨＫのサイトに欠陥、個人情報漏れの恐れ (日経)。
office さんのフォロー: [memo:4752] NHK 意見送信フォームの XSS脆弱性。
@Random の内部 ML ではさらにアレゲな情報が流れていたりしますので、ちかぢか公開されることでせう。悲惨な状況を変革してください > NHK。
あいかわらず、話題にこと欠きませんねえ。
住基ネット お盆休み中も各地でトラブル (毎日)
抜けたいあなたに。
滋賀県大津市の場合は 滋賀県個人情報保護条例 の
(自己情報の訂正請求)
第18条 第14条第1項の決定により開示を受けた自己の個人情報に事実に関する誤りがあると認める者は、実施機関に対し、その訂正(削除を含む。以下同じ。)の請求(以下「訂正請求」という。)をすることができる。
を使うことになるのかな。「中止請求」はできないみたい。うーむ。
(苦情の処理)
第21条 実施機関は、その保有する個人情報の取扱いに関する苦情について、適切かつ迅速に処理しなければならない。
もあわせて行うのがいいのかな。
というわけで、募集中。
先日の JANOG 10 の JPCERT/CC Update (報告件数減ってますねぇ、US CERT/CC は増えてるのに……) の質疑応答でも話があったそうなのだが、
scan に関する情報がほしい。 脆弱性の発見/報告と scan との間には明らかな相関がある。
そんなことはない。報告様式は「どのように書けばいいのかわからない、どのような情報を含めればいいのかわからない」人のための参考としてつくられていると考えてほしい。 もちろん、報告様式を使ってもらえれば JPCERT/CC としては嬉しいが、こだわっているわけではない。報告者にとって報告しやすい形式で送ってくれて構わない。たとえば、Firewall や IDS が出力するレポートをそのまま送ってくれている人もいる。そのようなものでも構わない。
とにかく、「情報提供」なのか「JPCERT/CC に何らかの対応を望む」のかを明示してもらえれば、どんな形式でも受け付ける。
ということみたいなので、「送ってもいいんだけど、報告様式が書きにくくてねえ」という人は気楽に情報提供してあげてください。
今年ももう Internet Week 2002 の案内の季節になってしまったようです。
タリバーン兵捕虜移送中に数百人死亡と米誌報道 (asahi.com)。「運転手のコンテナは命令を無視して空気穴を開けたため、全員無事だったという
」。
つまり命令絶対だったら死んでたわけで。
それって計画的な大量殺人なのでは。
そういう団体と「協力」関係になるってのは、昔から変わってませんねえ
> U.S.A.
HP security bulletins digest翻訳版 があったんですね。あとでアンテナにも入れておきます。
Windows Services for UNIX 3.0 : ガイド ツアー。 SFU 3.0 (β版が公開されてます) には Interix が添付されているんですね。お値段はどうなるんだろう。
Service for UNIX / Cygwin メーリングリストというのもできてます。s が抜けてる……。
ようやく SP1 登場ですか。 http://www.download.windowsupdate.com/msdownload/update/v3/static/ie6sp1/x86/en/README.CAB (もうなくなってるみたい) をほどいたっぽいものが http://jscript.dk/2002/8/ie6-sp1-highlights.txt にあります。
The gopher protocol has been disabled by default.
さよなら gopher。
============================================
OUTLOOK EXPRESS NEW FEATURES IN THIS RELEASE
============================================
Virus protection feature
-------------------------
Virus protection is the answer to renewed interest in the threat of e-mail viruses. It blocks programmatic sends and lets users specify if they want to open or save attachments. This option to block the preset list of file types may be accessed via the checkbox under Tools | Options | Security | "Do not allow attachments to be opened or saved that could potentially be a virus." This option is enabled by default for new installations and upgrades.
IE 6 SP1 ではデフォルトで有効になるそうなのでご注意。
Plain text e-mail option
-------------------------
Outlook Express now has the ability to read all messages as plain text. Users may set this option in Tools/Options/Read/"Read all messages in plain text." When this option is selected, all received mail is viewed in plain text format. This option is disabled by default. When enabled, mail received that is in HTML format will display only the plain text portions; HTML sections will be moved to an HTML attachment and will be indicated by a paperclip icon in the Preview Pane or will be shown in the attachment well of the open message. Also see the "Virus Protection" section above regarding display of FRAMES with the Plain Text option enabled as well as the option to block potentially unsafe attachments, including HTML files.
やっと実装、ですか。喜ばしいことではあるし、Microsoft の security への取りくみが前進している証拠でもある、とは言えるかと。
というわけで、安定して動いてくれれば、IE (for Windows) 使いは全員 IE 6 SP1 へ移行を推奨、になるのかな。 Mac OS 版もなんとかしてください。
open source の Bastille Linux (これ自体は open source) の HP-UX 用 HP 正式サポート版、という理解でいいのかな。 HP-UX 11.0 と 11i v1.0 (11.11) で使えるそうです。
Bastion Host whitepaper の日本語版は http://www.jpn.hp.com/biz/products/sw/os/hpux/files/bilding_ab_j.pdf にあるそうです。
「セキュリティの強度」と「使いやすさ」は二者択一ではない 〜分かりやすいセキュリティソリューション〜 (@IT)、 そう見えることを認識した上で書かれた記事だとは思わないが、 右側に「Aladdin 電子認証、暗号化 etc ICカードの機能をUSBで 実現！ eToken」なんて出てくるのは逆効果のような気が。
それにつけても住基ネット。各地で番号スケスケの通知が送られているようで、なかなか楽しいですね。"security in mind" な担当者がいかに少ないかという……。そうやって、鎖の弱いところから security が崩れるってことを総務省は……理解してないんだろうなあきっと。
Apache 2.0.39 directory traversal and path disclosure bug (bugtraq)、 Apache 2.0 vulnerability affects non-Unix platforms (apache.org) というわけで Apache 2.0.40 出てますね。 カナダさん感謝。
Microsoft .NET Framework Service Pack 2 出てますね (spieder さん感謝)。ハッカージャパン 2002.09 で山崎はるか氏に指摘されているバグは直ったんだろうか。
[debian-announce:00030] Debian BOF 開催と展示デモのお知らせ、2002.09.19 だそうです。 http://www.debian.or.jp/ もアンテナに追加したほうがいいかしらん。
IP unreachable な環境に 1 週間いるとネタがたまりすぎ。
停電復帰。
8/18 は停電するのでこの web page は見れなくなるでしょう。
住基ネット 都道府県サーバーの一部プログラムに不具合 (毎日)、 参加延期の三重県2町が住基ネット接続 各地でトラブルも (毎日)。 要は、現状の住基ネットはαクオリティってことか。
Tea Room for Conference No.1005。いやぁ、i-mode って、ほんとうにすばらしいですね。 (他社も似たりよったりだろうけど)
OpenSSL 0.9.6f が make できないネタは OpenSSL Security Advisory [30 July 2002] に追記してありますのでそちらを。
「全国民データベース」化が懸念される米国防総省のテロ防止データベース計画 (WIRED NEWS)。どこの政府もこの手のモノにはご熱心ですねえ。対テロって言えばなんでもアリらしいし。
『スパイダーマン』が勝訴 (CNET)。そりゃそうだろう……。
「タレントは傷ついている」 アイコラ討論会でホリプロ社長 (ZDNet)。 実力行使するつもりはないのかなあ。
パレスチナ・西岸紀行（１） (tanakanews.com)。
A.D.2002、はやくもイッパイ気味だそうです。参加したい人は急いで。
Windows 2000 SP3 日本語版出てますね。
大瀧さん情報ありがとうございます。
いろんな団体がそれぞれの都合で無数に繋がっている、これが現状です
うーむ。穴だらけ?
総務省が常時接続“解除”を指示 点検必要な複数自治体に (毎日) 総務省指導による住基ネット常時接続解除の自治体は約200 (毎日) なんて話も出ていますね。総務省の言う「セキュリティは万全です」とはこの程度というわけで。典型的なバータリーの模様。
問題があるからではなく、セキュリティー確保作業の一環として行っている
「総務省の井上源三市町村課長」は何が問題なのか理解できていない模様。
OpenAntiVirus とその周辺に関するプレゼンテーション資料。質疑応答ログも参照。波田野さん情報ありがとうございます。
signature を自力でつくれない、のはかなり痛い問題だと思う。
自力でつくれるそうです: [memo:4740] PatternFinder [memo:4742] Re: PatternFinder。 @Random/ZERO の speaker おみやげの Virus つめあわせ CD から signature をつくりまくると喜ばれたりするのかなあ。
無線 LAN 方面では
現時点での WEP の使用率は使用目的に関わらず 4 割程度にとどまる
とか
WEP を設定することで対処した場合でも、64bit の暗号化では僅か数時間のブルートフォース攻撃で解読されてしまった。WEP を積極的に採用している場所でもその全てが 64bit の WEP キーを使用しているために実際に解読でき、その場所にある全てのアクセスポイントの通信が解読できることもあった
といった、アレゲな実態がはびこっている模様です。
あと、「SSID から使用している製品が推測できるものが多い
」
のだそうで。
2002.07.31 の OpenSSL Security Advisory [30 July 2002] に追記した。itojun さんからのフォロー。OpenSSL 0.9.6e ヤバげ。 ……と言っている間に OpenSSL 0.9.6f も出ました。該当個所、もちろん直ってます。 ……が、Makefile.ssl に問題があるようです (T_T)。
A.D.2002 参加申し込み受付開始だそうです。
米司法当局、ずさんな管理体制でノートPC大量紛失 (ZDNet)。 なんか、すごい状況ですね。
FDclone ML の登録 CGI のクロスサイトスクリプティング穴は修正された模様です。 対応おつかれさまです。
日本ネットワークアソシエイツ、McAfeeの新戦略「McAfee MVP2」を発表〜「管理」に着目した総合ウイルス対策をさらに強化・推進〜 (NAI)。 トレンドマイクロの 企業をウイルス大規模感染から効果的に守る、トレンドマイクロのウイルス対策新構想 (2002.06.26) と同じような感じ、なのかなあ。
JP305217: SSL 3.0 サーバーのセッション タイムアウト中に、ページを表示できませんというエラーが表示される 。
オウム信徒の転入届不受理は違法 横浜市と中区敗訴 (asahi.com)。そりゃそうだろう……。
著作権者の“合法ハッキング”、米国外では「おそらく違法」 (ZDNet)、そりゃそうだろう……。
翔泳社さんの SEC 2002 Autumun の開催日が 11/6 に変更されたのだそうですが、その日は先約が入ってる……またしても行けないとは……うぅ。 8/5 時点で知ることができていれば、先約を移動させることもできただろうに…… (T_T)。
某所から get した Windows 2000 SP3 日本語版をインストールしてみるテスト。 IE 6 アンインストール → Windows 2000 SP3 インストール → IE 6 再インストール → hotfix (Q321232, Q320920) 再インストール (Windows Update に出るから)。めんどくさい。 動作的には特に問題ない、のかな。
2002.08.02 の Sun RPC におけるリモート バッファ オーバーフローの脆弱性 に追記した。 CERT Advisory 登場。 GNU glibc、MIT Kerberos、OpenAFS にも関連穴が。
CVE 番号への reference がつくようになったんですね。
[DSA 145-1] New tinyproxy packages fix security vulnerability
[DSA 144-1] New wwwoffle packages fix security related problems
[DSA 143-1] New krb5 packages fix integer overflow bug
MITKRB5-SA-2002-001: Remote root vulnerability in MIT krb5 admin system の話。Sun RPC におけるリモート バッファ オーバーフローの脆弱性 関連話。
[DSA 142-1] New OpenAFS packages fix integer overflow bug
OpenAFS Security Advisory 2002-001: Remote root vulnerability in OpenAFS servers の話。 Sun RPC におけるリモート バッファ オーバーフローの脆弱性 関連話。
まあ、ユーザー責任、なんでしょうねえ。ビジネス用、と銘打って発売されるようなモノには標準添付されていてもいいと思うのだけど。
オリジナル: パソコンの廃棄・譲渡時におけるハードディスク上のデータ消去に関するガイドライン (JEITA)。 プレスリリース: 「パソコンの廃棄・譲渡時におけるハードディスク上のデータ消去について」のガイドラインを発表 (JEITA)。
2002.07.31 の OpenSSL Security Advisory [30 July 2002] に追記した。↓の話とは別に、OpenSSL 0.9.6e にはバグがあるのかな。
C 言語標準規格 (ISO/IEC 9899:1999) によれば、integer の式における overflow は未定義動作となり、unsigned integer においては overflow は決して発生しない、という。よって、signed integer の overflow を、その発生後に発見することは不可能だという。
この動作を理解していないコードが、たとえば CAN-2002-0659 (OpenSSL Security Advisory [30 July 2002] の ASN1 ライブラリ問題) を fix した後のコードにも見られる、という指摘、かな。
「攻撃」ってきわめて容易に捏造できるような気がするんだけど、そんな状況で「個別自衛権」を認めていいの?
VulnWatch: http://www.vulnwatch.org/。
結局ひっこめたようですが (HP、反発受け「バグ公開者への警告」取り下げ)、なんだかなあ > HP。
明日と明後日はこのページの更新はたぶんできません。 ごめんなさい。
FDclone ML ができたそうです。って、登録 CGI がいきなりクロスサイトスクリプティング穴してるじゃん……。
さんざん spam っていながら「当メールニュースに掲載された記事を許可なく転載することを禁じます」とな > combz.jp。
オープンソース法案に対抗してMSがペルー政府に圧力か(上)。 どこまでいっても U.S.A. は U.S.A.
ついにあの“インターネットの名門”までも——米ISP御三家，最後の1社も窮地に (日経 IT Pro)。U.S.A. どこへ行く。まあ、替わりになる若い力が出てきていれば、別に問題ないのだけど。
8月5日から「罠」が始動〜住基ネットで政局が動く(1) (佐々木敏)。 なんか疲れる意見。
あらゆるシステムは常にトラブルを起こす危険を抱えているのだから、慎重に運用しながらトラブルが大惨事に至らない方策を絶えず考え続ける以外に道はなく、「100%安全になるまで導入しない」のなら、われわれが現在享受している技術文明はすべて否定されねばならない。
トラブルの可能性の分析とそれへの対処を、考えられる限りあらかじめやってあるのなら、離脱する自治体が発生するほどの状況にはなってないんだってば。
これで「政局とITの両方に強い、数少ないプロの言論人の1人の意見
」だとは。というか、自分で言うかふつう?
植村さん情報ありがとうございます。
パターンファイルアップデートのタイミングについて (トレンドマイクロ)。ベンダーによって曜日が違いますね。
FreeBSDやOpenBSD上で稼働するメール・サーバー用アンチウイルス・ソフト (日経 IT Pro)。RAV AntiVirus ですね。しかし、どうして $299- が 18万5000円 になるのやら。
NHK の 2 つの web site にクロスサイトスクリプティング脆弱性が存在した (する?) ことが明らかになった。
[memo:4712] NHK オンライン BS サイト XSS 脆弱性
こっちは直ったらしい。
こっちはまだ穴があるのかな。
これを利用すると、天下の nhk.or.jp 上ににせページをつくることができてしまうのだ。
IPSwitch IMail:
Cisco:
Vulnerability: protected Adobe eBooks can be copied between computers
VMware GSX Server Remote Buffer Overflow
2.0.0 build 2050 で fix: Re: VMware GSX Server Remote Buffer Overflow
MITKRB5-SA-2002-001: Remote root vulnerability in MIT krb5 admin system
ツール:
IE and .xla may lead to problems
Windows 2000 + IE 6.0 + Office XP で弱点。 既知の脆弱性を組みあわせると、悪意ある web page で任意のコードを実行できる、ということなのかな。
from memo ML:
[memo:4641] Re: 「安全な通信を行うための証明書」関連話題
今でもそのまんま。続くスレッドも参照。
[memo:4710] 漏洩データに個人を特定できる情報が含まれていなくても、プライバシーは侵害され得る
今日来た一見メールマガジン風 spam がまさにこのパターンに見えるし > combz.jp。
なぜか駆除後暗号化してしまうそうで。patch が出てますので適用しましょう。
こういう傾向、クラッキングにつかえるモノがどんどん増える、という状況は強まるんだろうなあ……。「LAN につなぐときに認証かける」が必須になるのかなあ。でも FireWire とか USB とか無線とかもあるしなあ。
Sun AnswerBook2 format string and other vulnerabilities
Sun Solaris に付属する AnswerBook2 サーバ (dwhttpd) に format バグがあり、remote から任意のコードを dwhttpd 権限で実行できてしまう。また AnswerBook の管理スクリプトの一部には認証が必要ないものがあり、この結果、アカウントなしでも、たとえば新しい管理ユーザの追加やサーバのエラーログの閲覧などの管理コマンドを実行できてしまう。
指摘者がテストしたとしているのは Solaris 2.6, 7, 8 に含まれる AnswerBook2 1.4, 1.4.1, 1.4.2。
対応するには、dwhttpd については 2001.01.31 に patch がリリースされているので適用すればよい。 ただしスクリプトについてはいまだに patch がない。スクリプトを削除するなどの対応が必要。
www.turbolinux.co.jp はいつまで Apache/1.3.14 のままなのだろう。
openssh: opensshにしかけられたトロイの木馬の件
「弊社で調査を行った結果、弊社で提供しているopensshパッケージは問題がないことを確認いたしました」なのでご安心を。
いってみよう! エンヤーコーラヨット……
住基ネット： 初日からトラブルが相次ぎ 多難な船出 (毎日)
まあ、悪用されるよりは立ちあがらない方がマシな気も。
住基ネット： 足並み乱れ多難な船出 離脱組、淡々と作業 (毎日)
総務省の方が法律違反しているのだから、人のことを言う前に自分らの違反を正して欲しい
正論だけど、聞いてもらえないんだろうなあ。 総務省の耳はロバの耳。
住基ネット： 総務省 離脱自治体対応で“２重登録”認める見解 (毎日)
「大量のデータ削除はシステムに影響が出る可能性もある」（井上源三市町村課長）という
オイオイなんじゃそりゃ……。仮運用のときに何をテストしていたんだ。
住基ネット不正使用に備え、総務省など「対応計画」策定 (asahi.com)
バータリーでドロナーワ状態の模様。
住基ネット： 情報蓄積どこで 総務省がサーバー所在地公表拒む (毎日)
隠したくなる気持ちはわかるけど、場所がわかっただけでツブされるようじゃダメなわけで。
だめだこりゃ (タッタラタッタッタ〜)。
NTT-ME のストレージサービス iTrustee のぷらら版 iTrustee for Plala に弱点。ユーザのログオン時の URL を知ることができると、 その URL を利用して認証なしで接続できてしまっていたという。 2002.08.02 の緊急メンテナンスで修正された模様。
本田さん情報ありがとうございます。
super 3.18 に穴があり、local user が root 権限を得られる、という指摘。 3.19 以降で fix されているという。
FreeBSD の ports/security/super は 3.20.0 になっているみたい。4.6-RELEASE までは穴つきバージョンがくっついてきていたみたい。
個人的には、ふつうの人向けの ISP では 「低額での双方向 (送受信) アンチウィルスゲートウェイ機能のデフォルト提供」 くらいしないと、今の Klez じゃじゃもれ状況には対応できないんじゃないか、という気がしてきていたりしてます。全員入れば +100 円/月くらいにできるんじゃないのかな。で、あえて使いたくないという人には「潜在的な危険性を増やすから」としてもっとコストを要求する。
問題は、アンチウィルスゲートウェイってコンテンツフィルタそのものだ、という点で、……。デフォルト on はむつかしいだろうなあ。
つなぐだけで乗っ取り完了。
2002.08.02 の Sun RPC におけるリモート バッファ オーバーフローの脆弱性 に追記した。 Apple Mac OS X 用 fix 登場。
2002.10.25 の [memo:1724] コンソールプログラムで Windows 2000 がハングアップする に追記した。Windows 2000 SP3 で修正された模様。
著名な電子メールソフト Eudora 5.x for Windows に弱点。 MIME メールの各パートを分割するマーカーである boundary 文字列が長大なものの場合に buffer overflow が発生する。これを利用すると、悪意あるメール送信者により任意のコマンドの実行が可能となるという。 問題発見者により、少なくとも Eudora 5.1.1 for Windows 英語版、Eudora 5.0.2-Jr2 for Windows 日本語版にこの弱点があることが確認されている。
patch はない。QUALCOMM は問題発見者に「次期リリースで修正予定」だと伝えてきたという。
mpack 1.5 に弱点。MIME ヘッダの解釈において buffer overflow するため、 remote から細工したメールにより任意のコードを実行できる。また、ファイル名の解釈において ../ が利用できてしまうため、上位ディレクトリにファイルを設置することができる。ただしこれを利用してファイルを上書きすることはできない。
Debian では修正パッケージが配布されている。 また FreeBSD の ports/converters/mpack では、4.5-RELEASE 以降に付属するものについては buffer overflow 対策がされているように見える。../ 対策はまだ入っていないみたい。
mpack のソースって sprintf() バシバシとか楽しそうな状況なので、手元ではとりあえず ports/security/libparanoia と link してお茶を濁しておくことにした。 あと fopen(foo, "w") 系も何も考えてなさそな気がしたのでいじったり。 固定ファイル名で一時ファイルをつくったりしてるみたいだし。
2002.06.07 の Microsoft Internet Explorer 'Folder View for FTP sites' Script Execution vulnerability に追記した。Mozilla, Opera でも同様事例が発見された。
W32/Perrun ウィルスの詳細解説。
snort シリーズ最終回。snort に対するニセ情報攻撃とその対抗方法。
これだと誤検出が多すぎて困る (特に、そのウィルス自身を話題にしている時は) と思うんですが。multipart な MIME ヘッダまでちゃんと「ヘッダ」としてあつかってくれるツールがあるといいんですが。
くぼたさんから (ありがとうございます):
日経 IT Pro の『コンテンツ・フィルタリングでウィルス対策を強化する』に ついて一言書かれていましたが、これについて、期待に添うかどうかはわかりませんが、MessageWall (http://www.messagewall.org/) というソフトウェアがありますので紹介させて頂きます。
といっても、実のところ私自身まだ殆んど中身を見ていないのでろくに把握できてはいないのですが、MessageWall は SMTP Proxy で、header rejection、body text rejection ですとか、MIME part filename matching といった機能もあるようです。
先ほどちらりと見たところでは、ルールの記述も非常に簡単なようです。フィルタリングに限定していえば、procmail と比較してルールの保守は相当楽になるかと思います。
MessageWall は proxy server として動作するんですね。
日付の感覚がめちゃくちゃだったようで。高木さんご指摘ありがとうございます。さぁて、STAR WARS 観にいくか。
米南部で西ナイル・ウイルス (NHK)。
「アウトソーシング」というキーワードで検討した場合、ASaP 意外の選択肢はありませんでした (NAI)。トレンドマイクロの eDoctor の立場は? eDoctor ってずいぶん前からやってますよねえ。
観たぞ、マニュファクチャリング・コンセント。 なんだか「全てのリンクをたどりながら読む web page」 というかんじのつくり。話があちこちに飛んでくれる。 「ディティールは重要」なのでしかたないのだけど、 映画だからつくり手側のペースでそれを見せられてしまい、なかなかつらいものもあったり。だけど内容はたいへん興味深いものだった。
「ディティールは重要」、確かに。マスメディアの「表層だけ」「見せたいトコだけ」報道にはホントにウンザリだ。
「根本的な対応の相違」、各国政府の依頼により、なんて理由もあるのかな。
喜ばしい変更だが、なぜ今ごろようやくなのか、という点が気になる。
2002.06.07 の Microsoft Internet Explorer 'Folder View for FTP sites' Script Execution vulnerability に追記した。Windows 2000 SP3 で修正されているそうです。
NetSkate ですか……。
大学向け専用 McAfee キャンパス・ライセンス プログラム (NAI)。インストール想定数って何に基づいてはじき出すんだ? そもそも、可能な限り全ての PC に入れないと意味のない製品なのに。
よくわからんなあ。もしかして、ディスカウントするための名目なだけ、なのか?
日本ネットワークアソシエイツ、一元管理が可能なデスクトップファイアウォールの新製品を発売 〜ウイルス対策ポリシー統合管理ツール「ePO」による集中管理も実現〜 (NAI)。 エンタープライズ向け製品のようです。
けっきょく FreeBSD 4.6.1-RELEASE は出ずに 4.6.2-RELEASE が出る予定のようですね。
Sun Solaris 2.5.1〜9、FreeBSD 4.6.1-p5 以前、OpenBSD 2.0〜3.1 に弱点。RPC ライブラリに含まれる xdr_array filter primitive 中に buffer overflow する弱点がある。これを利用すると、 RPC を利用するデーモンプログラムを経由して、 remote から任意のコマンドをデーモンプログラム実行権限 (たいてい root) で実行できる。
Solaris 用の patch はまだない……のかな。 Recommended & Security Patches for Solaris にもそれらしいものはないし。patch が出るまでは、ISS Advisory にあるように
この脆弱性の悪用を阻止するために、ISS X-Force では、Solaris ユーザに対し、使用しない「rpc.cmsd」および「dmispd」サービスを無効にすることをお勧めします
あるいはパケットフィルタリングなどで回避しよう。
4.6.1-RELEASE-p6, 4.5-RELEASE-p15, 4.4-RELEASE-p22 以降で fix される。 昨日の FreeBSD 方面 でとりあげましたが、REVISED されているのでご注意。
NetBSD Security Advisory 2002-011: Sun RPC XDR decoder contains buffer overflow
OpenBSD 3.1 Security Advisories: July 29, 2002: A buffer overflow can occur in the xdr_array(3) RPC code, leading to possible remote crash.
SGI Security Advisory: Sun RPC xdr_array vulnerability
調査中だそうで。
Apple Mac OS X: Security Update 2002-08-02 for OpenSSL, Sun RPC, mod_ssl
CERT Advisory CA-2002-25 Integer Overflow In XDR Library (CERT/CC)
GNU glibc 2.2.5 以前にも問題がある模様。 [DSA 146-1] New dietlibc packages fix integer overflows (Debian)
VU#192995 Integer overflow in xdr_array() function when deserializing the XDR stream (CERT/CC)
MITKRB5-SA-2002-001: Remote root vulnerability in MIT krb5 admin system
OpenAFS Security Advisory 2002-001: Remote root vulnerability in OpenAFS servers
Windows、Mac、Linuxに共通のセキュリティーホール (CNET)
Windows にも、というのはちょいと気が早いのでは。
2002.08.01 の openssh-3.4p1.tar.gz trojaned に追記した。オフィシャルアナウンス、CERT Advisory 登場。
2002.07.29 の auの携帯電話にReferer誤送出の欠陥、KDDIは回収せず に追記した。オフィシャルアナウンス登場。
[CACAnet-Talk:01050] 【ご案内】 CACAnet 福岡フリースクール at 福岡。 プライバシーマークねた。
nmap 3.00 が出たそうです。(info from [connect24h:4527])
RFC3280: インターネット X.509 公開鍵基盤 証明書と証明書失効リスト (CRL) のプロファイル 邦訳版 が登場しています。(info from [CACAnet-Talk:01049])
山梨県立科学館のラット解剖教室が抗議殺到で中止に (slashdot.jp)。 対テロ対策という名のテロと似たりよったりか。
おぉ SINET 障害情報、「海外を発生元とする名古屋大学ノード加入機関向けDDos攻撃
」とな。
「海外を発生元とした大阪大学ノード加入機関向け高トラフィックによるノードルータの高負荷
」
なんてのも出ているようで。
あ、「海外を発生元とする名古屋大学ノード加入機関向けDDos攻撃
」
が「海外を発生元とした名古屋大学ノード加入機関向け高トラフィックによるノードルータの高負荷
」に訂正されている。
FreeBSD RELENG_4_[456] で openssl が 0.9.6e になっている模様。 あ、FreeBSD Security Advisory FreeBSD-SA-02:33.openssl 出てますね。
危機管理とは幹や枝を守ること（連載第5回） (日経 BP)。 少なくとも枝までいっちゃってるような気が。
[RHSA-2002:132-14] Updated util-linux package fixes password locking race
RAZOR advisory: Linux util-linux chfn local root vulnerability。 local exploitable だそうで。
[RHSA-2002:153-07] Updated mm packages fix temporary file handling
mm shared memory library に一時ファイル関連穴。
FreeBSD 方面、続々出てます。
FreeBSD Security Advisory FreeBSD-SA-02:23 insecure handling of stdio file descriptors [REVISED]
FreeBSD-SA-02:23 insecure handling of stdio file descriptors の修正は、procfs あるいは linprocfs を利用している場合にうまく働かなかった。 詳細: FreeBSD <=4.6 kernel problems, yet Linux and *BSD much better than Windows (Georgi Guninski)。
FreeBSD Security Advisory FreeBSD-SA-02:32 exploitable race condition in pppd
pppd に競争状態となる穴があり、競争に勝てれば、任意のファイルのパーミッションを変更できる。4.6.1-RELEASE-p1 でもこの穴があるとされている。
FreeBSD Security Advisory FreeBSD-SA-02:33 openssl contains multiple vulnerabilities
OpenSSL Security Advisory [30 July 2002] の話。4.6.1-RELEASE-p2 でもこの穴があるとされている。 ports/security/openssl にもこの問題があり、最新の ports では修正されている。
FreeBSD Security Advisory FreeBSD-SA-02:34 Sun RPC XDR decoder contains buffer overflow
Sun RPC の XDR デコーダに問題があり、heap buffer overflow が発生してしまう。NIS、NFS など RPC を利用したコマンド (たとえば rpc.statd) において、remote から任意のコードが実行され得る。4.6.1-RELEASE-p3 でもこの穴があるとされている。
いずれも最新の RELENG_4_[456] では修正されている。
ところで 4.6.1-RELEASE はどうなっているんだろう……。
ftp://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-3.4p1.tar.gz がトロイ入りになっている、という指摘。さきほど get してみたが「見事に該当」だった。ftp.openbsd.org is a nickname for openbsd.sunsite.ualberta.ca なんだそうで。 関連: Weblog of Edwin aka MavEtJu
OpenSSH Security Advisory (adv.trojan) (OpenSSH.com)
openssh-3.4 や openssh-3.2.2p1 もトロイ入りだった。 7AM MDT, August 1st (MDT って時差いくつだろう) で修復されているようだ。
CERT Advisory CA-2002-24 Trojan Horse OpenSSH Distribution (CERT/CC)
参加しない人々:
住民基本台帳ネットワークシステムに参加しない矢祭町の基本的な考え (矢祭町)
情報を提供して下さった Tatekawa さん (ありがとうございます) は 「これが至極もっともだと思います」 とコメントされていますが、私もそう思います。
「住基ネット離脱」に反響、福島・矢祭町へ転入希望次々 (毎日)
実行に移すのは困難だと思うが……。
住基ネット接続 三重県二見町と小俣町見送り (中日新聞)
どちらも「独自の個人情報保護条例など」の制定後に住基ネットにつなごうという考えのようです。
参加するけど……な人々:
住基ネット、障害時は独自に停止 鳥取県が安全対策 (中日新聞)
「鳥取県は全国で唯一、県と県内全市町村が保護するための条例を既に制定している」ので住基ネットからの離脱はしないが、いざというときには県レベルで停めるということかな。でも、停めるかどうかを判断するための機材・人員の手配はだいじょうぶなのかなあ。
で、住基ネット稼働に不安感 鳥取県17市町村 (毎日) でもあるようで、条例あるから ok ok というわけでもなさそう。
住基ネット予定通り 松山市長が独自の対策要綱制定 (毎日)、 住基ネット、トラブル発生時は切断検討 名古屋市 (毎日)
「検討」レベル。検討している間にへげへげになると思うが。
反対する人々:
住民票コード拒否の運動展開へ 反対する会 (毎日)
状況としては 「自分の住民票コードを拒否し、抹消を希望するはがきを居住自治体に送」 ってみるテスト、なのかな。
[aml 29187] 住基ネット実施を許さない行動全国各地でぜひ！！
8/3, 5, 12 の東京方面のイベント。 住基ネット8月5日実施を許さない実行委員会 web page も参照。
小泉首相の方から「年金番号はいいのに、住民ネットはなぜいけないのか」と質問され
年金番号方面もアレゲな様子ですが: [memo:4679]。
バンザイ・アタックな人々:
住基ネット「対応は万全」 片山総務相が政令市長と懇談会 (毎日)
「我々は悪の秘密結社だ」と堂々と名乗る悪の秘密結社はあまりないと思われ。 たいていの虐殺は「正義」をふりかざしながら行われるよね。
アレゲな状況:
名古屋市 住民情報照会のアクセスログ保存へ、懸念に対応 (毎日)
「実施時期は未定で、住民基本台帳ネットワークシステム(住基ネット)が導入される8月5日には間に合わない
」。good luck! (保険には入っていないんだろうな)
住民票コードの配布方法をめぐり揺れる市町村 山形県 (毎日)
町民のプライバシーより経費を優先ということで。
住基ネットのクラックテスト - その効果はかなり疑問 (slashdot.jp)
memo ML のスレッドについては こちら からたどった方がわかりやすいと思う。というか、memo.st のやつは壊れている。
しかし、今頃になってそんなことしているってのがそもそも。 「セキュリティはだいじょうぶなんですか?」「全サーバ・クライアントに対してテストを実施しました。これが結果です (ばば〜ん)。発見された問題点については全て改善済みです」ならカッコいいんだが、そういうわけでは全くなさそうってのが。