セキュリティホール memo - 2003.04

Last modified: Wed Nov 22 16:09:44 2006 +0900 (JST)

■ 2003.04.30

■ Qpopper v4.0.x poppassd local root exploit
(bugtraq, Mon, 28 Apr 2003 23:12:44 +0900)

　qpopper 4.0.x に付属する poppassd に欠陥。 poppassd の内部から smbpasswd コマンドを実行する場合があるが、smbpasswd コマンドのありかは -s オプションで変更できてしまう。このため、poppassd が suid root でインストールされている場合、local user が root 権限を得ることが可能となってしまう。 exploit (securiteam.com)。suid root でインストールされていない場合にはこの問題はない。

　suid root を無効とする (chmod -s poppassd) ことで回避できる。

■ MDaemon ねた
(bugtraq)

MDaemon SMTP/POP/IMAP server =>v.6.7.5: IMAP buffer overflow

MDaemon 6.7.5 の IMAP サーバが、長大な CREATE コマンドで crash するという指摘。 指摘者は crash だけでなく、任意コードの実行が可能だとしている。

MDaemon SMTP/POP/IMAP server: =>6.0.7: POP remote DoS

MDaemon 6.0.7 の POP サーバを、認証後に crash させられるという指摘。

　最新は 6.7.9 (リリースノート) のようだが、これらの問題が fix されているか否かは不明。

■ 追記

PoPToP PPTP server remotely exploitable buffer overflow

exploit と Debian GNU/Linux patch 追記。

■ 2003.04.28

■ 追記

Windows カーネルメッセージ処理のバッファオーバーランにより、権限が昇格する (811493) (MS03-013)

少なくとも Windows XP SP1 では、MS03-013 (811493) patch は「重要な更新」から「推奨する更新」にランクが下げられた。画像。

CERT Advisory CA-2003-12 Buffer Overflow in Sendmail

NEC sendmail 追加。

■ Opera ねた
(bugtraq-jp)

[Opera 7] Yet Another Story of "Phantom of the Opera"

Opera 7.01〜7.10 Windows 版に欠陥。 「JavaScript コンソール」に任意のスクリプトを挿入できてしまうため、ローカルゾーンで任意のスクリプトを実行させられるようなリンクを作成できてしまう。 このようなリンクをクリックしてしまうことにより、任意のパス中のローカルファイルが攻撃者に漏曳してしまう可能性がある。

指摘者は「危険度: 中程度」としているが、 Microsoft なら「緊急」とするだろう。

[Opera 7/6] ダウンロード時の長い拡張子で起こるヒープバッファオーバーランによる脆弱性

Opera 6.05〜6.06 / 7.01〜7.10 Windows 版に欠陥。 長い拡張子を持つファイルをダウンロードしようとすると buffer overflow が発生し、Opera が異常終了してしまう。 指摘者は、この欠陥を利用した任意のコードの実行は困難だとしている。

指摘者は「危険度: 中程度」としているが、 Microsoft なら「重要」とするだろう。

　いずれについても、修正版はまだ登場していないようだ。 前者の欠陥については、JavaScript を無効とすることで回避できるそうだ。

2003.05.14 追記:

　Opera 7.11 for Windows 登場。上記の欠陥は修正されたようだ。関連:

■ トロイの木馬を仕込んでまで
(沙耶16歳さん, 2003.04.27)

　インストール時にユーザの許可/合意を得ていたりすると、正当な動作でしょうしねえ……。

■ Opinion：新しいスパイツールの是非
(ZDNet, 2003.04.23)

　サイバー犯罪条約ねた、だったりもするのかなあ。

　audit trail の訳語って、「監査証跡」がメジャーだったのか……。 知らなかった。個人的には、気色悪い言葉だと思うのだけどなあ……。

■ 警鐘●ネットバンク事件を機に問われる“責任”
(日経 IT Pro, 2003.04.22)

　ネットバンキングに不正アクセス　１６００万円盗む (産経)、ネットバンキングに不正アクセス、１６００万円盗む (サンスポ)、ネット銀からも３００万円　不正アクセス預金引き出し(goo ニュース/朝日新聞) な話。 (匿名希望さんからいただいた link を追加: ありがとうございます。 2ch.net の ここの銀行のセキュリティって甘そう からだそうです)

対策としては，例えばワンタイム・パスワードや電子署名を使う方法がある。

　悪意あるプログラムが蠢く環境を想定すると、電子署名というのは解にならないと思うんだけどなあ……。

■ 2003.04.25

■ ゴールデンウィーク中のアンチウィルスベンダー各社の体制
(various)

トレンドマイクロ

ゴールデンウィーク休暇前ウイルス対策確認事項。

NAI

Golden Week期間4/26(土)〜5/5(月)のサポート窓口及び緊急ウイルス発生時の対応について。

シマンテック

?

Sophos

普段から年中無休 24h 体制ですね。

F-Secure

「ゴールデンウィーク中、サポートセンターはカレンダー通り業務を行います」 だそうです。

2003.04.28 追記:

　F-Secure 改訂。

■ 追記

Windows カーネルメッセージ処理のバッファオーバーランにより、権限が昇格する (811493) (MS03-013)

Microsoft 自身が Windows XP SP1 でのパフォーマンス低下の発生を確認した。

Internet Explorer 用の累積的な修正プログラム (810847) (MS03-004)

814895: MS03-004 の修正モジュールの適用後に発生する現象について (Microsoft)。 MS03-004 patch による副作用は MS03-015 patch で修正された。

■ 2003.04.24

■ ＩＥなどにDoS攻撃を受けるセキュリティホールが発覚
(slashdot.jp, 2003.04.24)

　あまりに簡単なコードで、あまりにあっけなく落ちますね……。なんてことでしょう。

■ Outlook Express 用の累積的な修正プログラム (330994) (MS03-014)
(Microsoft, 2003.04.24)

　Outlook Express 5.5 / 6 に欠陥。MHTML ファイルへの URL の取り扱いに欠陥があり、「ローカルコンピュータに保存されているテキストファイルを参照し、そのファイルを HTML として表示する MHTML URL」を作成できてしまう。このテキストファイルにスクリプトが含まれていると、このスクリプトはローカルコンピュータ権限で実行されてしまうため、ローカルコンピュータ内のファイルを読み書き実行できてしまう。

　攻撃は、悪意ある web ページの他、Outlook Express 5.5 デフォルト状態では HTML メールによっても実行可能。Outlook Express 6 ではデフォルトで制限付きサイトゾーン権限となったため、HTML メールによる攻撃は防がれる。Outlook Express 5.5 でも、HTML メールを制限付きサイトゾーン権限で解釈するよう変更できるので、ぜひそうしておこう。

　patch があるので適用すればよい。

　CVE: CAN-2002-0980

■ Internet Explorer 用の累積的な修正プログラム (813489) (MS03-015)
(Microsoft, 2003.04.24)

　IE 5.01 SP3 / 5.5 SP2 / 6 に新たな 4 つの欠陥。

　Outlook Express 5.5 のデフォルト状態では HTML メールがインターネットゾーン権限で開かれるため、上記攻撃を HTML メールからも実行できてしまう。Outlook Express 6 や Outlook 2002 ではデフォルトで制限付きサイトゾーン権限となったため、HTML メールによる攻撃は防がれる。Outlook Express 5.5 でも、HTML メールを制限付きサイトゾーン権限で解釈するよう変更できるので、ぜひそうしておこう。Outlook 98 / 2000 では、「Outlook 電子メールセキュリティアップデート」を適用しておけば攻撃は防がれる。

　patch があるので適用すればよい。この patch はさらに、Plugin.ocx コントロールを使用不可にする (Kill Bit を設定する)。

■ 追記

Windows コンポーネントの未チェックのバッファにより Web サーバーが侵害される (MS03-007)

MS03-007 が改訂され、Windows NT 4.0 にも同じ弱点があると明記されたため記述を変更。 Operaも影響を受けるMS03-007 (opera.rainyblue.org) を追加。

■ 連載】 情報セキュリティマネジメントシステム基礎講座 第7回 期待が高まる「情報セキュリティ監査制度」
(@IT, 2003.04.24)

　情報セキュリティ監査制度始まる: “ガイド”の意味はあるが、実用性には疑問噴出 (日経 IT Pro) と比べると、あまりのトーンの違いに笑ってしまう。日経 IT Pro の方から:

あるセキュリティ・ベンダーの社長は、「確かに、経産省の“お墨付き”で、一般企業にセキュリティ監査を提案できるのは喜ばしい」と答える。そのため、「セキュリティ・ベンダーが利益を得るための制度といわれても仕方がない」という批判すら出てくる。

　結局は、そこなのでしょうね。

　まあそれでも、中身がついてこればまだいいのですが、

政府が進めているので大きな声は出てこないが、ガイドの実用性についても否定的だ。今回話を聞いた約10社のベンダーは一様に、「これまで自社で進めてきた監査の範囲を超えないので、参考にする必要はない」という。

　結局は、「安全・安心マーク」とかと同様に、なんだか意味不明なモノにしかならないような気が。

■ 2003.04.23

■ 追記

Microsoft VMのサポートは2003年末まで，求められるアンインストール機能

Sugawara さんによる、アンインストール方法を追記。

Mac OS Xセーフブート（セーフモード） 〜セーフブートの内容と、実際の使用方法紹介〜

fsck -fy だそうです [osx-users:0458]。

■ VirusScan、NetShiledがサポートするOS、IEのプラットフォームは？
(NAI, 2003.04.22)

　何と、NetShiled4.5a HotFixR は IE 6 をサポートしていないのだそうで。 もはやダウンロードできないブラウザしかサポートしていないとは。だめすぎ。

■ Microsoft VMのサポートは2003年末まで，求められるアンインストール機能
(日経 IT Pro, 2003.04.22)

今後，どのような形でも構わないので，Microsoft VMのアンインストール機能をぜひ提供してもらいたい。

　個人的には、今すぐほしいなあ。regsvr32 /u msjava.dll という方法があるようですが、これはアンインストールではないですし。

当初は「Microsoft トラブル速報」という名称であったが，「トラブル・メンテナンス速報」に変更された。

　セキュリティアンテナの記述を直しました。_o_

過去のトラブル・メンテナンス情報の一覧を表示するページがなくなっていることも気になる。(中略) 後からでも参照できるように，ぜひ，一覧ページを復活してもらいたい。

　これは、ぜひお願いしたいですねえ。

2003.04.23 追記:

　Sugawara さんから (ありがとうございます):

もうすでにご存知かと思いましたが、以下のコマンドで削除できます。 Windows98SE + MSJAVA Ver.3810の環境で確認しました。

%windir%\RUNDLL32.EXE advpack.dll,LaunchINFSection %windir%\inf\java.inf,Uninstall
（切れていたらつないでください）

c:\windows\javaフォルダに"java.inf"というファイルがありましたので見てみましたら、ちゃんと"Uninstall"の記述がありましたので、単純に考えて上のショートカットを試してみたものです。

java関係のDLLや、レジストリはほとんど全部削除されてました。 ただひとつ、C:\WINDOWS\JAVA\CLASSESフォルダに"Osp.cer"という期限切れの証明書 が残りました。

アンインストール後、 http://java-house.jp/~takagi/java/security/show-version/test.htmlで、 確認したところ、動作しなかったり、プラグインのインストール確認のダイアログが出てきたりしましたので、削除はきちんと行なわれたと思いました。一応、SunのJavaも(1.4.1)アンインストールしてから確認しました。

それと、

%windir%\RUNDLL32.EXE advpack.dll,LaunchINFSection %windir%\INF\msjava16.inf, Uninstall

と、msjava16.infをつかうと、インターネットエクスプローラのプロパ ティのなかのＶＭ関係の設定項目がなくなりました。 詳細設定とか、セキュリティのレベルのカスタマイズとか・・・

ただ、この状態でもう一度ver.3810をインストールしようとすると失敗しましたので、そのときにはver.3809を一度インストールしてから ver.3810をインストールするとよかったです。

■ 2003.04.22

■ Mac OS Xセーフブート（セーフモード） 〜セーフブートの内容と、実際の使用方法紹介〜
(シトラス (info from Mac お宝鑑定団))

　fsck -y 相当が動くんだろうか……。

2003.04.23 追記:

　fsck -fy だそうです [osx-users:0458]。

■ 連載：インシデントレスポンスはじめの一歩 第2回 侵入者が仕掛けるrootkitの特徴を知る
(@IT, 2003.04.19)

　次回は LKM rootkit。

■ 2003.04.21

■ 法人向けトレンドマイクロ製品の Java Plug-in の対応状況
(トレンドマイクロ, 2003.04.18)

　Microsoft Java VM、やっぱり必要なんですね。困ったもんだ。

■ 地下駅における火災対策設備の現況について
(国土交通省, 2003.04.11)

　私鉄も加わってます。また、「地下鉄」じゃなくて「地下駅」ですので、たとえば名鉄の新名古屋駅や近鉄の近鉄名古屋駅の情報があったりします。

■ ICタグで「万引き防止」
(日経 IT Pro, 2003.04.09)

　書店→外の対策にはある程度有効だろうけど、一旦書店の外に出てしまったら、無効化されるものと思った方がいいと思うなあ……。きっとラジオライフ (笑) とかに無効化テクがばばんと紹介されちゃうだろうし。それとも、「おやお客さん、この本の IC タグは無効化されてますね、どうされたんですか?」とか bookoff のにーちゃんにいちいち言われるのかな。

　まあ、「IC タグを生かしておけば、ご自宅の書籍管理もほらこんなに簡単!」などといった利便性が出てくれば、IC タグを生かしたままにしておこうという気にもなるだろうけど、……。

■ [port139ml:03064] XP(SP1)のEFS
(port139 ML, Fri, 18 Apr 2003 23:38:25 +0900)

　Windows XP SP1 では、EFS の暗号化アルゴリズムのデフォルト値が、それまでの 128bit DESX から 256bit AES に変更されている、という話。Windows Server 2003 も 256bit AES がデフォルトのようです。 Windows XP では、この他に 3DES も使えるのだそうです。

　で、それだけなら別にいいのですが、AES で暗号化した EFS を Windows 2000 や Windows XP gold で復号化すると、ファイルを破壊してしまうかもしれない、のだそうです。from KB 329741:

IMPORTANT: Do not decrypt files in this state using Windows 2000 or versions of Windows XP earlier than SP1. If you do so, you may lose data.

　「扱えまへん」といって abort するのがふつうの動作だと思いますが、そうなってはいないのかもしれません。いやはや。関連リンク:

■ 厳密な個人認証のために〜バイオメトリクス認証を解説する
(日経 IT Pro, 2003.04.18)

　忘れる可能性はないでしょうが、盗まれる可能性は、あるでしょう (例: シックス・デイ)。盗まれても役に立たないような機構が用意されているかどうかは、認証をかけたい対象によっては重要になるでしょう。 またグミ指のような「ニセ物」への耐性も、認証をかけたい対象によっては重要になるでしょう。

バイオメトリクス製品を選択する際には，他人受入率や本人拒否率だけではなく，この未対応率にも気をつける必要がある。

次に，バイオメトリクス認証の中で最も多くのシステムで利用されている指紋認証についてふれたい。

と言いつつ、指紋の未対応率やグミ指に触れないのはアレなのでは。

■ [port139ml:02988] Re: W2K/XPのIPSecフィルタリング回避
(port139 ML, Wed, 09 Apr 2003 20:17:32 +0900)

　Windows 2000 / XP の IPsec フィルタを src = 88 dst = any なパケットがデフォルトで通過してしまう話への対応方法。HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSEC に NoDefaultExempt をつくって 1 に設定に設定する。Windows 2000 SP3 / XP SP1 以前のデフォルトは NoDefaultExempt = 0 な状態。 Windows 2000 SP4 / XP SP2 では NoDefaultExempt = 1 がデフォルトになるそうだ。

　この KB は日本語版がほしいですね。

■ Vulnerabilities in Portable Executable (PE) File Format For Win32 Architecture
(bugtraq, Wed, 09 Apr 2003 22:51:36 +0900)

The main concept of this research article is about the fact that the free virtual space between sections is the hiding place for embedded code and a launching pad for bigger mobile code, let's not forget to mention, and security risks.

　正直言ってサッパリわからん……。すき間がいっぱいあって、そこに隠せる、という話、でいいのかな。

■ インターネットサーバーの安全性向上策に関する調査 （アベイラビリティ確保）
(IPA, 2003.04.21)

サービス妨害攻撃も考慮した上でのハイアベイラビリティなインターネットサーバー構築での技術選択に利用可能な調査報告書を目指した

のだそうです。

■ PoPToP PPTP server remotely exploitable buffer overflow
(bugtraq, Thu, 10 Apr 2003 01:19:33 +0900)

　1.1.4-b3 / 1.1.3-20030409 より古い poptop に弱点。パケット長として 0 あるいは 1 が指定された場合の処理に問題があり、buffer overflow が発生する。Linux では exploit 可能だという。 1.1.4-b3 / 1.1.3-20030409 で修正されているので入れかえるか、指摘されている修正を施す。

　実際に exploit も登場している (modified version)。 こっちにも。

fix / patch:

Debian GNU/Linux

[SECURITY] [DSA 295-1] New pptpd packages fix remote root exploit
日本語版: [debian-users:36928]

追記:

2003.04.30

exploit と Debian GNU/Linux patch 追記。

■ False-negatives in several Vulnerability Assessment tools
(bugtraq, Mon, 07 Apr 2003 19:06:02 +0900)

　いくつかの英語版脆弱性検査ツールにおいて、非英語版のプロダクトを検査すると、脆弱性が存在するにもかかわらず、警告を発しない場合があるという指摘。 事例として挙げられている Microsoft SQL Server 2000 の脆弱性に対して、Vigilante Secure NX、eEye Retina/Spida、Nessus、Sensepost senseql は、非英語版 SQL Server 2000 については「脆弱性がない」と答えてしまったという。

　eEye Retina は 4.9.84 で修正され、 eEye Spida も 1.0.2 になっているそうな [bugtraq follow 記事]。

■ Secure Programming Techniques
(linuxsecurity.com, 4/18/2003 13:24)

　ウーム、Practical Unix & Internet Security, 3rd Edition 出ていたのか。訳出されるのはいつになることやら。

　最後に出てくる「C シェルは使うな」というのは有名な話ですが、今だに書いてる人いますねえ。ダメすぎ。 参照: 有害な csh プログラミング (原文)。

■ 追記

Windows Update と Windows 98 / 98 SE と MS03-008

fix されたようです。匿名希望さん情報ありがとうございます。

web ブラウザ関連

MS02-050 の 『Microsoft 自身が利用している「ある特定の」デジタル証明書まで reject されてしまう』副作用のない patch が 2002.11.21 付で登場している。 匿名希望さん情報ありがとうございます。

■ 2003.04.19

■ 追記

Ptrace hole / Linux 2.2.25

[RHSA-2003:135-00] Updated 2.4 kernel fixes USB storage (Red Hat Linux 9)。

kerberos に複数の弱点

[RHSA-2003:091-01] Updated kerberos packages fix various vulnerabilities (Red Hat Linux 9)

[SECURITY] [DSA 269-2] New heimdal packages fix authentication failure
翻訳版: [debian-users:36721]

Turbolinux Security Advisory TLSA-2003-29

potential buffer overflow in lprm

[SECURITY] [DSA 267-2] New lpr packages fix local root exploit (potato)
翻訳版: [debian-users:36756]

CERT Advisory CA-2003-10 Integer overflow in Sun RPC XDR library routines

Turbolinux Security Advisory TLSA-2003-29

■ UNIX fixes
(various)

Red Hat Linux
Debian GNU/Linux
Vine Linux

■ 2003.04.18

■ 検証令状で携帯電話の位置情報取得　警察など捜査機関
(毎日, 2003.04.18)

　警察は「携帯電話の検証令状」というものでケータイの位置情報を取得しているそうです。

最高裁も「犯罪の嫌疑があり、容疑者の居場所を知る必要がある時は、令状を出している」と認めたが、件数については「統計がない」として回答しなかった。

　覚えきれないほどたくさん、なのかな。

■ IE 6 DoS ねた
(bugtraq)

　IE 6 DoS ねたがなぜか流行っているようで。 Microsoft 的には、ブラウザの DoS はセキュリティ問題じゃないらしいのであれですが……。

Exploit/DoS in MS Internet Explorer 6.0 (OBJECT Tag)

Security > Enable Plug-ins が有効な場合、Safari でも落ちるそうです [harden-mac:0376] [harden-mac:0379] 。 ちなみに、IE 6 SP1 でも「Active X コントロールとプラグインの実行」を無効にすると、落ちません。

IE 5.01 SP3 / IE 5.5 SP2 でも落ちました。

IE 6.0 - trivial crash

それは 2002.07 に公開されている のだそうで。 こちらも、「Active X コントロールとプラグインの実行」を無効にすると、落ちません。

IE 5.5 SP2 でも落ちましたが、IE 5.01 SP3 では落ちませんでした。

■ SecurityFocus Newsletter #189, 190, 191
(bugtraq-jp)

　HTML 版:

　text 版:

　いつからか、本家の web archive も、ちゃんと日本語が表示されるようになっているのだそうです。

■ 追記

CERT Advisory CA-2003-12 Buffer Overflow in Sendmail

[SECURITY] [DSA 290-1] New sendmail-wide packages fix DoS and arbitrary code execution 追加。

Windows カーネルメッセージ処理のバッファオーバーランにより、権限が昇格する (811493) (MS03-013)

ntdll.dll 話については問題ない模様。しかしよく考えると、ntoskrnl.exe を変更しちゃうわけなので、だいじなサーバとかでは慎重にテストしておかナイト。

CORE-2003-0307: Snort TCP Stream Reassembly Integer Overflow Vulnerability

CERT Advisory CA-2003-13 Multiple Vulnerabilities in Snort Preprocessors 登場。

スキャンエンジンを4.2.40へアップグレード後Excelの起動時に『McShieldアプリケーションエラー』が発生します。

ウィルス定義ファイル 4258 にて対応されたそうだ。スキャンエンジン 4.2.40 利用者はすかさずアップデートしておこう。

■ 2003.04.17

■ Windows カーネルメッセージ処理のバッファオーバーランにより、権限が昇格する (811493) (MS03-013)
(Microsoft, 2003.04.17)

　Windows NT 4.0 / 2000 / XP に弱点。カーネルがデバッガにエラーメッセージを渡す方法に問題がある。これを利用すると、攻撃者は管理者権限を奪取することが可能になる。ただしこの攻撃を実行するには、対象となるコンピュータのコンソールあるいは Windows Teminal から logon する必要がある。

　patch があるので適用すればよい。ただし注意すべきことに、Windows 2000 用の patch には MS03-007 に含まれているのと同じバージョンの ntdll.dll が含まれている (info from ntbugtraq)。MS03-007 と同様の制限があるかもしれない。

　CVE: CAN-2003-0112。

2003.04.18 追記:

　ntdll.dll 話、JWNTUG Newsletter Vol.8/No.012 - 2003.04.17 に

今回の修正プログラムでは ntoskrnl.exe も同時に置き換えているので問題ないと思われる。

とある。うぅ見逃していた。あと、FAQ にもこんな文章が:

このセキュリティ情報の 「修正プログラムに関する追加情報」 欄で、「Windows 2000 用の修正プログラムは MS03-007 で提供された Windows 2000 用の修正プログラムを含む」 と記載されていますが、この修正プログラムは MS03-007 の 「警告」 欄に説明されている問題が発生しますか?

いいえ、発生しません。MS03-007の「警告」欄でお知らせした問題は、MS03-007 で修正されたファイルの動作に必要な関連ファイルが、修正プログラムに存在していないことが原因でした。この問題は特定の状況でのみ発生し、非常に限定されたコンピュータにのみ影響を及ぼしました。その状況とは、システムに Windows 2000 Service Pack 2 が適用されており、かつマイクロソフト プロダクト サポート サービスより入手可能な、特定の修正プログラムがそのシステムにインストールされている場合でした。この修正プログラムは、セキュリティ以外の修正項目を持つものです。

今回公開された修正プログラムの Windows 2000 用のパッケージには、これらの問題が発生しない、全てのファイルを含みます。そのため MS03-007 で提供された修正プログラムも含みます。これにより、この修正プログラムは MS03-007 の修正プログラムで「警告」として告知された問題が発生しません。

　しかしよく考えると、ntoskrnl.exe を変更しちゃうわけなので、だいじなサーバとかでは慎重にテストしておかナイト。

2003.04.25 追記:

　各所で「MS03-013 を適用すると遅くなる」という話題が出ていたが [memo:5764]、Microsoft 自身が FAQ で Windows XP SP1 におけるパフォーマンス低下を明記した [memo:5772]。

このセキュリティ情報および関連する修正プログラムをリリースした後、パフォーマンスに関連する問題がこの修正プログラムの Windows XP Service Pack 1 バージョンで確認されました。この問題はこのセキュリティ情報で説明されているセキュリティ上の問題とは関連はありません。しかし、この問題により、この修正プログラムの適用後、Windows XP SP1 システムで一部のお客様にパフォーマンスの低下が発生します。

　パフォーマンス低下とセキュリティ問題を勘案した上で、適用可否を検討されたい。 Microsoft 自身は認めていないようだが、Windows 2000 でもパフォーマンス低下が発生しているという報告もある [memo:5764]。

2003.04.28 追記:

　少なくとも Windows XP SP1 では、MS03-013 (811493) patch は「重要な更新」から「推奨する更新」にランクが下げられた。画像。

2003.04.30 追記:

　[ 2003.04.28 ] Windows XP のパフォーマンスが低下する件 (canon-sol.jp)。 NOD32 ねた。

2003.05.06 追記:

　Windows XP 修正パッチ適用による、システムパフォーマンスの低下について (sophos.co.jp)。

2003.05.29 追記:

　パフォーマンス問題を改善した、Windows XP SP1 用新 patch 登場。 こちらからどうぞ。

2003.09.02 追記:

　注記が追加された:

Windows 2000 Service Pack 2 の特定の環境においてブルースクリーンが発生する可能性がございます。詳細については、サポート技術情報 827780 をご覧ください。

　KB 827780 を見ると、どうやらこういうことのようだ:

　2003.08.28 以降に SUS / 自動更新 / Windows Update カタログで配布されている MS03-013 修正プログラムは、この問題が修正されたものなのだそうだ。 SUS の場合は、まず同期させた上で、改めて 811493 を許可すればよいそうだ。 って、既にブルーサンダーしている機械が自動更新できるとも思えないが。

　しかし、この事態はどのように理解すればよいのだろう。 SUS / 自動更新 / Windows Update カタログと、 Windows Update / Microsoft ダウンロードセンター には常に異なるものが掲載されているのだろうか。 それとも、オペレーションの不具合で異なるものが掲載されていた、ということなのだろうか。

■ KDE Security Advisory: PS/PDF file handling vulnerability
(bugtraq, Thu, 10 Apr 2003 22:16:02 +0900)

　3.1.1 までの KDE 2 / 3 に弱点。KDE は、PostScript (PS) と PDF ファイルの処理に Ghostscript (gs) を利用しているが、この gs コマンドの扱いに問題があったため、悪意ある PS/PDF ファイルにより、KDE 利用者権限で任意のコマンドを実行させることが可能だった。

　KDE 3.0.5a, 3.1.1a で修正されている。また、KDE 2.2.2 用の patch が公開されている。patch を見たところ、-dSAFER -dPARANOIDSAFER -dDELAYSAFER といった起動オプションが追加され、また localfile ではなく pipe で処理するといった動作がされるように見える。(KDE はさわらないので今 3 つ自信なし)

　CVE: CAN-2003-0204

fix / patch:

Debian GNU/Linux

[SECURITY] [DSA 284-1] New kdegraphics packages fix arbitrary command execution
日本語訳: [debian-users:36733]

[SECURITY] [DSA 293-1] New kdelibs packages fix arbitrary command execution
日本語訳: [debian-users:36844]

[SECURITY] [DSA 296-1] New kdebase packages fix arbitrary command execution
日本語訳: [debian-users:36930]

Turbolinux

Turbolinux Security Advisory TLSA-2003-28

Red Hat Linux

[RHSA-2003:002-01] Updated KDE packages fix security issues

■ Report Review Agent (RRA/FNDFS) Vulnerability in Oracle E-Business Suite
(oracle, 2003.04.10)

　Oracle E-Business Suite 10,7, 11.0, 11i RELEASE 1〜8 に弱点。 Report Review Agent (RRA) / FND File Server (FNDFS) に弱点があり、攻撃者は Oracle Applications Concurrent Manager から任意のファイルを取得できてしまう。 patch が出ているので適用すればよい。

■ Testberichte: NEW ! English version available: Anti-Virus Software Test January 2003
(Geschrieben am Sonntag, 16 Februar 2003 @ 21:24:12 CET (info from 2ch.net))

　2ch.net の セキュリティ板 NOD32 スレのこのあたり を読みませう。

　各種アンチウィルスソフトにおける、圧縮 and/or 暗号化された場合での検出テスト結果。PC-cillin 9 (ウィルスバスター) や Norton AntiVirus 2003、NOD32 ではほとんど検出できていないのに注意。トロイの木馬を仕掛ける人は圧縮 and/or 暗号化も併用することがあるので、こういうものに弱いとやられ放題になる可能性があるようです。

　対策としては、Kaspersky のような圧縮 and/or 暗号化にも強いアンチウィルスソフトに乗りかえるか、 TDS-3 (DiamondCS) や Tauscan (Agnitum) のような、対トロイ用のソフトを併用する必要があるようです。

■ CORE-2003-0307: Snort TCP Stream Reassembly Integer Overflow Vulnerability
(bugtraq, Wed, 16 Apr 2003 04:01:41 +0900)

　snort 1.8.x、1.9.x、RC1 より前の 2.0 に弱点。 stream4 プリプロセッサモジュールに、integer overflow に起因する heap overflow が発生する弱点があり、remote から snort 実行権限 (通常 root) を奪取され得る。

　snort 2.0 で修正されている。また、stream4 を無効にすることで回避できる。

関連情報:

fix / patch:

■ NetScreen Security Advisory 57226
(netscreen.com, 2003.04.16)

　Global PRO Policy Manager versions 4.0.0r1〜4.0.0r5、4.1.0r1 に弱点。組込の proposal "g2-aes128-sha", "g2-aes128-md5", "esp-aes128-sha", "esp-aes128-md5" を利用すると、暗号化には 128bit AES が利用されるはずなのだが、実際には 56bit DES が利用されてしまう。

　Global PRO 4.1.1 で修正されている。

■ 追記

OpenSSL 穴 2 つ

[SECURITY] [DSA 288-1] New OpenSSL packages fix decipher vulnerability 登場。

Microsoft VM の問題により、システムが侵害される (816093) (MS03-011)

日本語版 Windows NT 4.0 用の fix を Windows Update 経由で取得することができるようになった模様。

CERT Advisory CA-2003-06 Multiple vulnerabilities in implementations of the Session Initiation Protocol (SIP)

Internet Navigware Live オプションのSession Initiation Protocol(SIP)の実装における複数の脆弱性 (2003年4月17日) (富士通)。 CERT Advisory CA-2003-06 邦訳版 (LAC)。

■ 2003.04.16

■ コンピュータ緊急対応センターが中間法人化
(毎日, 2003.04.15)

　もはや「謎の組織」ではない、ということですね。 ちなみに FAQ はまだ変わってませんね。

■ 【事例】インテグレータ担当者が青ざめたExchange Server移行の盲点 ---松井証券「グループウエア」（上）
(日経 IT Pro, 2003.04.07)

　ややこしや〜、ややこしや〜 (と言えばにほんごであそぼ。 スゲーおもしろいっす。斎藤孝氏については、たとえば 次世代に日本語の宝石を 明治大助教授・斎藤孝さん (毎日)。本当に、番組でこれをやってます。知らざあ言って、聞かせやしょう)。

■ SSLの脆弱性を悪用した国内ウェブページ改ざん事案の多発について
(@police, 2003.04.16)

　せっかく JPCERT/CC JVN があるのですから、Vendor Status Note JVNCA-2002-23 OpenSSL に複数の脆弱性 を参照して頂きたいところですねえ。

■ 2003.04.15

■ DNS Cache Poisoning - The Next Generation
(securityfocus.com, Jan 27 2003 11:30PM GMT)

　Vulnerability Note VU#457875: Various DNS service implementations generate multiple simultaneous queries for the same resource record の話かな。とりあえず、bind 4/8 だけはやめたほうがよさげ。

　PDF 版: http://www.lurhq.com/dnscache.pdf

■ Misuse of Macromedia Flash Ads clickTAG Option May Lead to Privacy Breach
(vulnwatch, Mon, 14 Apr 2003 15:30:56 +0900)

　バガボンド プレスクラブに流れてきたものの方がわかりやすい: セキュリティマガジン　Scan Security Wire　増刊号　(2003/04/15)。

　Flash AD というのは、MACROMEDIA　FLASHという容量の軽い動画のプログラムを広告的に応用したもの (ZAKZAK) だそうだ。で、Macromedia 作成の Flash AD 制作ガイド に問題があったそうだ。

Flash AD では、「getURL(clickTAG)」を用いて広告のトラッキングを行う方法を推奨していた。
しかし、「clickTAG」に第三者がスクリプトを仕込むことが可能であり、仕込まれたスクリプトを「getURL()」は、無効化することができない。
そのため、スクリプトを用いたクロスサイトスクリプティングが可能となっている。

　Flash AD 設置者側の回避方法としては、clickTAG パラメータに対するサニタイジング (clickTAG パラメータは必ず "http://" ではじまるようにする) の他に、次のものがあるそうだ:

もっとも単純で有効な対処方法は、Flash ファイルを置くためだけのサブドメインを用意することである。これにより、攻撃者が奪取できる cookie は、当該サブドメイン上のもののみとなり、ほとんどの危険は回避できる。

　Scan Security Wire　増刊号によると、この弱点の影響を受ける「大手」サイトが実在するそうだ。Flash AD 運営者は注意されたい。

　一方、利用者側の対応としては、JavaScript の無効化しかない模様。 サイト依存なので、利用者側の対応はとっても難しいような気が。うぅむ。

　Flash AD 制作ガイドには次の Note が追加されたようだ:

Note: The ActionScript in this Flash advertisement is verifying that the clickTAG URL begins with "http:". This is an important security measure. If you do not take this precaution, a malicious HTML page could source your SWF and pass a clickTAG URL that begins with "javascript:" or another scripting pseudo-protocol. If your ActionScript code were to call getURL with a maliciously crafted JavaScript URL, it would be possible for the site serving the malicious HTML page to obtain the contents of your HTTP cookies or perform other actions on your site's behalf.

　CVE: CAN-2003-0208

■ 「無線ＩＣタグと個人情報の問題、感情的にならず冷静な議論を」——デジタルコア月例会
(日経 ITビジネス&ニュース, 2003.04.07 (info from 高木浩光さんホームページ ))

　「cookie に関する議論」に似てるような気がするなあ。少なくとも、利用者が有効・無効を選択できるようにはしないといかんような気が。「黙って導入」は最悪。 関連: ベネトンの服「スマートラベル未採用」を強調 (ZDNet)。

■ 追記

MS00-084: 「インデックス サービスのクロスサイト スクリプティング」の脆弱性に対する対策

実は Index Server 2.0 (NT 4.0 Option Pack) にもこの問題があり、patch が登場した。

Microsoft VM の問題により、システムが侵害される (816093) (MS03-011)

日本語版 Windows NT 4.0 用の fix を Windows Update 経由で取得することができない模様。

■ 2003.04.14

■ 2003.04.11

■ [memo:5722] 挿入しただけでCCCDが同意確認なしに特定のファイルを破壊する
(memo ML, Tue, 08 Apr 2003 04:33:30 +0900)

　avex のコピーコントロール CD (CCCD) は、autorun が有効な状態 (デフォルトで有効) の Windows マシンに挿入されると、いきなりなぜか C:\ 直下にアンインストーラ UNWISE.EXE を作成してしまう、という話。既に C:\UNWISE.EXE が存在した場合でも、問答無用で書きかえようとする模様 [memo:5737] 。だめすぎ。

　しかも UNWISE.EXE は不完全なアンインストーラなのだそうで、FacsyS さんは avex CCCD Player 完全アンインストーラ というソフトを作成されている (info from 沙耶16歳さん)。CCCD、つくづくだめすぎ。

■ APPLE-SA-2003-04-10 Mac OS X 10.2.5
(Apple, Fri, 11 Apr 2003 06:44:25 +0900)

　Mac OS X 10.2.5 登場 (古暮涼氏による邦訳版)。以下が修正されている。

■ 追記

■ 2003.04.10

■ Winsock プロキシ サービスおよび ISA Firewall サービスの問題により、サービス拒否が起こる (331066) (MS03-012)
(Microsoft, 2003.04.10)

　Proxy Server 2.0 および ISA Server 2000 に穴。内部からの攻撃パケットにより Proxy / ISA Server が DoS 状態になり得る。 ISA Server 2000 は、統合モードあるいはファイアウォールモードの場合にのみ問題が発生する。キャッシュ モードにはこの問題はない。

　patch があるので適用すればよい。関連:

■ Microsoft VM の問題により、システムが侵害される (816093) (MS03-011)
(Microsoft, 2003.04.10)

　あいかわらずの Microsoft Java VM 穴。悪意ある web サイトが任意のコードを実行可能。 Java を無効にすれば回避できる。

　最新の build 3810 で fix される。 Microsoft Java VM についても改訂しておきました。関連:

2003.04.11 追記:

　[LSD] Java and JVM security vulnerabilities を追加。

2003.04.15 追記:

　どうやら、Windows NT 4.0 用の fix を Windows Update 経由で取得することができない模様 [memo:5757]。Windows 98/Me/2000/XP から Windows Update カタログにアクセスし、Windows 98/Me/XP のいずれか用の fix を取得する。Windows NT 4.0 からは Windows Update カタログにアクセスできないので注意。Windows 98/Me/2000/XP を持っていない Windows NT 4.0 利用者は、Microsoft Product Support Services (PSS) から入手する。って、金取られるんですかね (爆笑)。

　ちなみに、英語版 NT 4.0 では何の問題もなく Windows Update 経由で取得できることを手元で確認できた。 本件は日本語版 NT 4.0 固有の問題のように思える。これが「深刻度: 緊急」の問題に対する対応だとは。シャレにならない。

2003.04.17 追記:

　Microsoft トラブル・メンテナンス速報 によると、Windows Update 経由で NT 4.0 用 fix を取得できない問題は修正された模様。手元の日本語版 Windows NT 4.0 Workstation でもきちんと出てくることを確認した。

■ from IPA
(IPA)

　いろいろ出てます。

■ 追記

■ 2003.04.09

■ 追記

　2003.04.08 の [VulnWatch] [DDI-1013] Buffer Overflow in Samba allows remote root compromise に追記した。Samba 日本語版情報、Debian GNU/Linux fix 日本語訳、ZDNet 記事を追加。

■ Microsoft Security Response Center マイクロソフト セキュリティ情報の深刻度評価システム (改訂版 2002 年 11 月)
(Microsoft, 2002.11)

　ひさしぶりに読み直してみました。というか、2002.11 の改訂時点で読んでないだろ > 俺。

緊急 (Critical)
この脆弱性が悪用された場合、Code Red や Nimda のようなインターネットワームがユーザーの操作なしで蔓延する可能性があります。

　可能性があるだけで「緊急」になってしまう。 「ユーザーの操作なしで」というのがキーワードなのだろうが、受動的攻撃系の穴でも、たとえば MS01-020 のおかげで、「ユーザーの操作なしで」を実現するのは困難ではないわけで。 となると、任意のコードが実行され得るものの多くは「緊急」になってしまうのでは。

重要 (Important)
この脆弱性が悪用された場合、ユーザーのデータの機密性、完全性またはアベイラビリティが侵害される可能性があります。または、処理中のリソースの完全性またはアベイラビリティが侵害される可能性があります。

　この定義だと、DoS は「警告」ではなく「重要」になりますね。うーむ。

　というわけで、見直しは必要な気が。 相次ぐ「緊急」のセキュリティ・ホールにマヒしていませんか？ (日経 IT Pro) という記事を書かれてしまうのは、やはりよろしくないでしょう。 「重要」と「緊急」の範囲が広すぎるような気がする。

　英語版: Microsoft Security Response Center Security Bulletin Severity Rating System (Revised, November 2002) (Microsoft)。

■ 的確なセキュリティ情報の提供を，ユーザーが求めるのは“量”よりも“質”
(日経 IT Pro, 2003.04.08)

　あえてここを引用する。

(MS03-010 の) 対策はパッチを適用すること。最大深刻度 が「重要」の，深刻なセキュリティ・ホールなので，速やかにパッチを適用しよう。

　もう一箇所。

RealNetworks などからは，RealOne Player および RealPlayer 8 のセキュリティ・ホールが公開された。Windows 版で影響を受けるのは，「RealOne Player および RealOne Player v2 (すべての言語版)」，「RealPlayer 8 (すべての言語版)」である。対策は，アップデート版のインストール。詳細は，RealNetworksが公開するレポートを参照してほしい。

　RealOne / RealPlayer 穴 は、現在の Microsoft 基準であれば「緊急」の、「深刻なセキュリティ・ホール」であると思うが、山下氏の文章からは、それが伝わってくるだろうか? 後者がここまで素気ないと、「ダブル・スタンダード」に見えてしまう。 原稿サイズの関係で削られちゃったのかもしれないが、……。

　ちなみに MS03-010 については、SANS Critical Vulnerability Analysis Vol 2 No 12 に次の記述があるのをさきほど発見した (普段からちゃんと読んでおけよ > 俺)。

Microsoft has released an advisory and a patch for the Windows SvcHost DoS discovered by Immunity Security last October. Malformed RPC requests sent to port 135/tcp can crash svchost.exe on vulnerable Windows NT/2000/XP systems. This crash causes the Windows RPC services to fail, and therefore any programs that depend on RPC to fail. Typically the victim system must be rebooted to be restored to a usable state.

Microsoft Bulletin and Patches for Win 2000/XP
http://www.microsoft.com/technet/security/bulletin/MS03-010.asp

Immunity Security Advisory
http://www.immunitysec.com/vulnerabilities/Immunity_svchost_DoS.txt

■ [Honeypot] Sebek のメモ。
(kawa's memo, 2003.04.09)

　Linux 用のカーネルモジュールキーロガー Sebek に関する記事。 「sebek をモジュールとして読み込んだら rmmod でも外せない(Bugsに記載あり)」 というのは、なかなか強力な気が。ほんとに BUG なの? 狙ったのではなくて?

■ 2003.04.08

■ [VulnWatch] [DDI-1013] Buffer Overflow in Samba allows remote root compromise
(VulnWatch, Mon, 07 Apr 2003 16:44:58 +0900)

　Samba 2.2.8a / Samba-TNG 0.3.2 より前に弱点。 smbd/trans2.c の 252 行目において buffer overflow が発生、これを利用すると remote から root 権限を奪取できる。当初、報告者の Digital Defense 自身が exploit をhttp://www.digitaldefense.net/labs/securitytools.html で公開していたが、これは事故だった模様で現在は削除されている。

　ベンダー提供の fix package を適用するか、Samba 2.2.8a / Samba-TNG 0.3.2 にはこの弱点はないので移行するか、 Samba 2.2.7a / 2.0.10 用の patch が公開されているので適用して build, install。

　日本 Samba ユーザ会の Samba 日本語版については、 [memo:5726] [ANN]オリジナル版 Samba 2.2.8の脆弱性の修正と日本語版での影響のについて、 [memo:5727] 【ANN】 Samba 2.2.7b日本語版リリース1.0 正式リリース を参照。「Samba 2.2.7b日本語版リリース1.0」以降で fix されている。

解説、関連リンクなど:

fix / patch:

オリジナル

Samba 2.2.8a、2.2.7a / 2.0.10 用 patch
Samba-TNG 0.3.2

Samba 日本語版

[memo:5726] [ANN]オリジナル版 Samba 2.2.8の脆弱性の修正と日本語版での影響のについて
[memo:5727] 【ANN】 Samba 2.2.7b日本語版リリース1.0 正式リリース

FreeBSD

FreeBSD Security Notice FreeBSD-SN-03:01 security issue in samba ports
SN-03:01 では語られていないが、ports/japanese/samba/ も Samba 2.2.7b日本語版リリース1.0 ベースになっている。

Mac OS X

APPLE-SA-2003-04-10 Mac OS X 10.2.5

Red Hat Linux

[RHSA-2003:137-02] New samba packages fix security vulnerability
Red Hat Linux 7.1 用 patch が追加され、RHSA-2003:137-02 になった。 Red Hat Linux 7.1 用 patch は、全般的にリリースが遅れる傾向にあるようです。

Debian GNU/Linux

[SECURITY] [DSA 280-1] New samba packages fix remote root exploit
邦訳版: [debian-users:36696]

Turbolinux

Turbolinux Security Advisory TLSA-2003-27

Miracle Linux

samba

HP-UX

HPSBUX0304-254 SSRT3536 Potential Security Vulnerability in CIFS/9000 Server
HPSBUX0304-254 SSRT3536 CIFS/9000 Serverにおけるセキュリティ脆弱性

SGI IRIX

Samba Security Vulnerability on IRIX

富士通 Portalworks UNIX 版

Portalworks標準リポジトリにバッファオーバーフローの脆弱性。 patch はまだないみたい。

Changelog:

2003.04.10

Samba 日本語版情報、Debian GNU/Linux fix 日本語訳、ZDNet 記事を追加。

2003.04.11

Samba 日本語版情報、Debian GNU/Linux fix 日本語訳、ZDNet 記事を追加。

2003.10.01

Portalworks標準リポジトリにバッファオーバーフローの脆弱性 (富士通) を追記。

■ Office 2003——6つ（あるいはそれ以上！）の版のどれを選ぶか
(ZDNet, 2003.04.07 (info from けんのぼやき))

　セキュリティよりも利便性を取る人はいつでもいるわけで。

　私にとってOffice 2003を勧めるのが難しい理由はもう1つある。同スイートで提供されるOutlookの新バージョンが、電子メールの中の外部HTMLコンテンツ（主にグラフィックスや広告）を遮断してしまう点だ。電子メールが相手に届いたか、もしくは開かれたかどうかを検知するための隠されたHTMLコードも遮断される。
(中略)
　この機能はスパム対策の1つとされるものだが、

　スパム対策だけではないでしょう。

あまり役立ちそうにないこの機能をめぐって、私は今、Microsoftにかけあっている。結果は今後のコラムで報告しよう。

　役に立ちそうにないですか。そうですか。幸せな生活をお過しのようで、なによりですね。 まあ、HTML メールを有効にするスイッチもどこかにあるでしょうから、利便性を取りたい場合は、ポチッとしていただければよろしいだけなのでは。

■ 2003.04.07

■ Seti@home information leakage and remote compromise
(ntbugtraq, Sun, 06 Apr 2003 19:10:08 +0900)

　SETI@Home クライアント 3.07 以前に弱点。'\n' を伴う長大な文字列を送られると buffer overflow が発生。 サーバになりすますことができれば、攻撃者はクライアント上で任意のコードを実行させることができる。また同様の問題がサーバにもあるようだが、テストできていない。

　弱点は 3.08 クライアントで修正されている。ダウンロードページから入手しよう。

　関連: SETI@homeに脆弱性 (slashdot.jp)、 「SETI@home」がv3.08で、バッファオーバーフローのセキュリティ問題に対処 (窓の杜)、 宇宙人探査プロジェクトの脆弱性、攻撃の可能性は低い？ (ZDNet)。

■ 【音楽】人々から音楽を奪うCCCD　part13: 12-18
(沙耶16歳さん, 2003.04.07)

　興味深いです。

■ スキャンエンジンを4.2.40へアップグレード後Excelの起動時に『McShieldアプリケーションエラー』が発生します。
(NAI, 2003.04.07)

　NAI の新スキャンエンジン 4.2.40 のトラブル。原因調査中。対象 OS は NT / 2000 / XP となっている。 ScanTimeOut をレジストリいじりで変更 (デフォルトの 30000 から 60000 に変更など) することによって回避できる場合があるようだ。でもそれって、起動に 30 秒以上かかるってこと?

2003.04.11 追記:

　McAfee Support Information [2003/04/11] が流れてきた。 この件、いまだに環境・発生条件が不明確なようで、稀にだがアプリケーションエラーが発生する場合もあるそうだ。

スキャンエンジンの更新をされていないお客様につきましては、スキャンエンジン4.2.40でしか対応できないウイルスが発生していない現段階では、本スキャンエンジンの適用を見合わせて頂きたくお願い申し上げます。

だそうで。US ではこの問題は出なかったのだろうか。 Excel 全般な話なのか、日本語版 OS / Excel 限定な話なのか……。

2003.04.18 追記:

　ウィルス定義ファイル 4258 にて対応されたそうだ。スキャンエンジン 4.2.40 利用者はすかさずアップデートしておこう。

■ 2003.04.04

■ 詳報　危ない百貨店の無線POS
(日経 IT Pro, 2003.03.28)

　西武百貨店の危ない無線POS，クレジットカード情報が見えた——対策は2003年1月末に完了、 高島屋の無線POSも脆弱だった，2月末に対策を完了し顧客に通知 (日経 IT Pro) のつづき。高島屋は LAC の警告文書 SNS Spiffy Reviews No.4: 個人情報漏洩の可能性のある脆弱性　−　百貨店で使用されている POS 機器の例 (2002.11.27 公開) を見てはじめて無線 LAN 対策を開始、2003.03.13 に完了したという。

　西武および高島屋の無線 LAN ベンダーである日本 NCR への取材結果も記載されている。

この回答に対して，前出の渡辺氏 (高島屋ビジネスサービスの渡辺耕太郎システム業務本部システム営業部システム開発第1グループ次長) は首をひねる。前述の通り，高島屋が無線POSシステムの本格導入を始めたのは2000年9月である。当時，高島屋は日本NCRに対してセキュリティに関する要求は出さなかったが，渡辺氏によるとその際に日本NCRからも無線LANのセキュリティに関する助言はなかったと言うのだ。

　2000 年くらいだと、お気楽に構築していたということなのでしょう。

■ やばい内容の電子メール：誤送信にご用心
(WIRED NEWS, 2003.04.03)

　気をつけましょう……というか、仕事場で (自分の!!) 性的な写真をいじっちゃいかんでしょう……。

■ 相次ぐ「緊急」のセキュリティ・ホールにマヒしていませんか？
(日経 IT Pro, 2003.04.03)

　SANS Critical Vulnerability Analysis、2003.03 の Widely Deployed Software だけでも載せてみようか。 CRITICAL > HIGH > MODERATE > LOW ね。

2003.03.03
(1) CRITICAL: Cisco IOS OSPF Neighbor Buffer Overflow
(2) HIGH: Windows ME/XP IE Help Center Code Execution
(3) HIGH: Multi-Vendor Session Initiation Protocol (SIP) Vulnerabilities
(4) LOW: OpenSSL CBC MIM Error Message Timing Attack
(5) LOW: Multi-Vendor Terminal Escape Sequence Vulnerabilities

2003.03.10
(1) CRITICAL: Sendmail Crackaddr() Address Header Parsing Overflow
(2) HIGH: Snort RPC Preprocessor Buffer Overflow
(3) MODERATE: Macromedia Flash Player Code Execution Vulnerability

2003.03.17
(1) MODERATE: IBM Lotus Notes NotesRPC Protocol Buffer Overflow
(2) MODERATE: PeopleSoft PeopleTools Remote Command Execution
(3) MODERATE: Qualcomm Qpopper Buffer Overflow
(4) MODERATE: ShopFactory CGI Price Manipulation Vulnerability
(5) MODERATE: PostNuke Multiple Vulnerabilities

2003.03.24
(1) CRITICAL: SUN XDR Library XDRMEM_GETBYTES Integer Overflow
(2) CRITICAL: Microsoft Windows 2000 ntdll.dll Buffer Overflow
(3) CRITICAL: Kerberos v4 Multiple Protocol Weaknesses
(4) HIGH: Samba SMB/CIFS Packet Reassembly Buffer Overflow
(5) MODERATE: Microsoft Windows Script Engine Integer Overflow
(6) MODERATE: BEA WebLogic Unprotected Internal Applications
(7) MODERATE: OpenSSL Timing Attack Private Key Disclosure

2003.03.31
(Flash) CRITICAL: Sendmail Parseaddr Buffer Overflow
(1) MODERATE: Ximian Evolution Mail Client Multiple Vulnerabilities
(2) MODERATE: Mozilla Bonsai CGI Suite Command Execution Vulnerability
(3) LOW: Mutt IMAP Client Folder Buffer Overflow

　SANS は主に server side に注目してランクづけしているように私には見える。 Microsoft のランクづけと比較されたい。 たとえば MS03-008: Windows スクリプト エンジンの問題により、コードが実行される 問題は、Microsoft は「緊急」としているが、SANS は MODERATE だ。

　Microsoft のランクづけ。「緊急」を連発しすぎなのは確かにそうだと思うけど、そのことよりも、「緊急」と「重要」の区別がよくわからないのが問題なのでは。なぜそれが「重要」ではなく「緊急」とランクづけされたのか、がよくわかないのが問題のような気がする。ユーザ層があまりに広いので最小公倍数的なランクづけになっているのだろうと思うのだけれど、ランクづけの結果に違和感のある人も少なくないのでは、と思う。

　また、ランクづけは本来個々の組織できちんと行うべきものであって、Microsoft のランクづけはあくまで参考でしかないはずだ。参考値だけ取りあげて「緊急」だ「緊急」だ〜と判断してしまうのは、ちょっと違うのではないか。中身を読んだ上で、あぁやっぱりこれは「緊急」だね、とか、Microsoft は「緊急」と言っているが手元のこの領域ではあとまわしでいいな、とか、ちゃんと判断しナイト。 このページや JWNTUG Newsletter に Microsoft のランクづけ情報を書くのをやめたのは、そういう意味なわけで。こういうランクづけはおうおうにして独り歩きしてしまうので、取りあつかいには注意しなければならないとも思うし。

　あとですね。ランクづけしているのが Microsoft だけ、だという事実を取りあげないと片手落ちなのでは。そのへんの UNIX / Linux は「マヒ以前」なわけで。まあ、Microsoft みたいに「緊急」と「重要」の区別がよくわからないランクづけをされても、それはそれで迷惑な気がするが。

■ 2002年度「音楽メディアユーザー実態調査」実施（2003年4月2日）
(RIAJ, 2003.04.02 (info from 沙耶16歳さん))

　サンプルのとり方がすごいですね。

中学生: 168
高校生: 168
大学生: 166
20 代: 166 (学生は含まない)
30 代: 166
40〜55 才: 166

　こういうサンプルでアンケートを取らなければならない市場構造なわけだ。 そりゃ売上が減るわけだよねえ。子供の総数はどんどん減ってるんだから。 大人が買う気になる音があまりない、とも言えるのだろう。

　CCCD については、アンケート回答者が CCCD に対する「正しい知識」を所有しているかどうかが全く不明なので、この数字を鵜飲みにするのはあまりに危険だろう。p.10 には「コピーコントロール CD 評価の理由」はあるものの、「コピーコントロール CD を評価しない理由」はない。この点を見ても、このアンケート (のまとめ方) がいかに恣意的かがわかろうかというものだ。「はじめに普及ありき」で、反対者の意見から学ぼう、という意思は全く感じられない。いやだねえ。

■ 2003.04.03

■ Apache 2.0.45 Released
(installer ML, 2003.04.01)

　Apache 2.0.45 登場。2.0.44 以前の 2.0 系列に DoS 攻撃を受ける弱点があり、2.0.45 で修正されている。また OS/2 版には弱点が 2.0.45 でも残っており、 この patch を適用する必要がある。

関連情報:

fix / patch:

FreeBSD

ports/www/apache2 は 2.0.45 ベースになっています。

Mac OS X

APPLE-SA-2003-04-10 Mac OS X 10.2.5

Red Hat Linux

[RHSA-2003:139-01] Updated httpd packages fix security vulnerabilities.

2003.04.10 追記:

　関連情報と fix / patch を追加。

2003.04.11 追記:

　APPLE-SA-2003-04-10 Mac OS X 10.2.5。

■ 「暗号技術検討会　２００２年度報告書」の公表
(経済産業省, 2003.03.31)

　2002 年度分。 FIPS ものは NIST Computer Security: Federal Information Processing Standards (FIPS) (nist.gov) にあります。

■ 緊急コンピュータセキュリティ研究会 〜セキュリティ、これだけはやってくれ!〜
(impress TV, 2003.04.01)

　これだけは、が、こんなにも (^^;;;;;)。

■ 総務省など、アダルトサイトなどの架空請求メールに関する注意を掲載
(INTERNET Watch, 2003.04.02)

　注意しましょう。

■ 追記

■ from IPA
(IPA, 2003.04.02 / 03)

　IPA から FY14 なドキュメントがさらに公開されています。

　あと、定例:

■ 2003.04.01

■ めも (2003.04.01)
(various)

■ SecurityFocus Newsletter #187, 188
(bugtraq-jp)

　HTML 版:

　text 版:

■ 連載：インシデントレスポンスはじめの一歩 第1回 攻撃手法の代表格「バックドア」と「トロイの木馬」と「rootkit」を知る
(@IT, 2003.03.29)

　LAC 新井さんによる新連載。次回も rootkit 話が続くみたい。

■ rootkitによるハッキングとその防御 第4回　rootkitを利用した侵入
(ZDNet, 2003.03.28)

　第4回　rootkitを利用した侵入 (5/5) にあるように、クラッカーは侵入後に patch を適用してくれるかもしれないのでご注意。

■ [VulnWatch] CORE-2003-0306: RealPlayer PNG deflate heap corruption vulnerability
(VulnWatch, Fri, 28 Mar 2003 21:02:16 +0900)

　RealNetworks の RealOne Player v1 / v2 (6.0.11.853 以前)、RealOne Player for OS X、RealPlayer 8、RealPlayer Plus 8、RealOne Enterprise Desktop に弱点。PNG ファイルの取りあつかいに問題があるため、heap 領域を変造することが可能となり、結果として任意のコードを実行可能。

　fix 版があるので、RealNetworks、2003 年 3 月に RealOne Player および RealPlayer のセキュリティ脆弱性に対応するアップデートをリリース (real.com) から入手する。ただし、RealOne Desktop Manager / RealOne Enterprise Desktop 用 fix は来週になるそうだ。

■ [VulnWatch] iDEFENSE Security Advisory 03.31.03: Buffer Overflow in Windows QuickTime Player
(VulnWatch, Tue, 01 Apr 2003 09:03:55 +0900)

　Windows 版 QuickTime Player 5.x および 6.0 に弱点。長大な URL をリクエストすることにより buffer overflow が発生するため、悪意ある web ページや HTML メールにより任意のコードを実行させることが可能となる。 QuickTime Player 6.1 で修正されているので入れかえる。……が、日本語版 QuickTime Player 6.1 for Windows はまだ存在しないようですね。

■ Oracle9iAS Containers for J2EE スタート・ガイドにおける、ProxyRequestsの記述について
(Oracle, 2003.03.24)

　Oracle のマニュアル「Oracle9iAS Containers for J2EE スタート・ガイド」に問題。「Oracle HTTPServer のバック・エンドでアクセスされるOC4J の設定」(p.15) のとおりに設定すると、Open Proxy サーバになってしまう。 そうさせないためには、ProxyRequests On は記述しないようにする。

　たかはしさん情報ありがとうございます。

■ Windows XP、無線LANセキュリティ強化
(ZDNet, 2003.04.01)

　Windows XP で WPA (WIRED NEWS) に対応するようになったのだそうで。 アクセスポイント側の WPA 対応状況って、どうなっているんでしょう。もうちょっと先?

■ 追記

[セキュリティホール memo]
私について