セキュリティホール memo - 2002.10

Last modified: Wed Feb 26 18:52:08 2003 +0900 (JST)

■ 2002.10.30

■ Pocket PC のセキュリティ
(Microsoft, ?)

　題名は「Pocket PC のセキュリティ」だけど、これに限らず、モバイルデバイス全般について言えることが多いように思える。

■ Opinion：ZIPで自爆
(ZDNet, 2002.10.29)

　[VulnWatch] R7-0004: Multiple Vendor Long ZIP Entry Filename Processing Issues の話。

■ 無線LANでイベント会場にウィルス蔓延
(slashdot.jp, 2002.10.28)

　イベント会場において、無線 LAN 経由で bugbear が「蔓延」したそうです。 いまどきだと、いろんな場所で無線 LAN できたりしますが、いきなり隣の PC から攻撃される可能性も考慮しておく必要があるってことですね。 まあ、お外に直接つなぐときはウィルス対策 + personal firewall くらいは必須かと。

■ セキュリティコミュニティーの実現に向け、「PacSec.JP」開催
(タレコミ, Wed, 30 Oct 2002 10:35:28 +0900)

　2003.05.22, 23 だそうです。来年のカレンダーをチェックしておきましょう。 layer9 さん情報ありがとうございます。

■ 2002.10.29

■ SecurityFocus Newsletter #164, 165, 166, 167
(bugtraq-jp)

　HTML 版:

　テキスト版:

■ ISS Security Alert Summary
(ISS)

■ MHonArc Security Advisory: XSS vulnerability
(MHonArc home page, 2002.10.21)

　MHonArc 2.5.12 以前にクロスサイトスクリプティング脆弱性が存在。 メールに

Header<SCRIPT>hello</SCRIPT>def: honyarara

のような、タグつきのヘッダを記述することにより攻撃が可能なのだそうだ。

　MHonArc 2.5.13 で修正されているので upgrade すればよい。 また、FIELDORDER リソースから -extra- を削除することによって問題を回避できる模様。 デフォルトでは

<FieldOrder>
to
subject
from
date
-extra-
</FieldOrder>

だそうなので注意。

■ 追記

　2002.10.28 の SNS Advisory No.56: TSAC Web package/IIS 5.1 connect.asp Cross-site Scripting Vulnerability に追記した。MS02-046 を適用しただけだと、問題のあるファイルが残ってしまう場合があるとの情報を追記 (Onodera さん感謝)。

■ 2002.10.28

■ CERT Advisory CA-2002-29 Buffer Overflow in Kerberos Administration Daemon
(CERT/CC, 2002.10.25)

　MIT Kerberos 4 / 5 , KTH eBones / Heimdal に含まれる kadmind (MIT Kerberos 5 では kadmind4) に弱点。 buffer overflow してしまうため、remote から kadmind 動作権限を奪取可能。 ただし KTH Heimdal では、Kerberos 4 互換コードを有効にしている場合にのみこの問題が発生する。

　MIT Kerberos 5 1.2.6, KTH eBones 1.2.1, Heimdal 0.5.1 で修正されている。 各所から patch や fix package が出ている / 出つつあるので適用しよう。 FreeBSD も、CVSup で得られる最新ソースはすでに修正されている。

■ いろんなアプリ
(various)

　かなり古いネタもあります。

■ UNIX fixes
(various)

Debian GNU/Linux
Red Hat Linux
HP Tru64 UNIX
NetBSD
OpenBSD

■ SNS Advisory No.56: TSAC Web package/IIS 5.1 connect.asp Cross-site Scripting Vulnerability
(LAC, 2002.10.11)

　 Terminal Services Advanced Client (TSAC) Web パッケージ、および IIS 5.1 の「リモートデスクトップ Web 接続」オプションコンポーネントに含まれる connect.asp ファイルにクロスサイトスクリプティング問題が存在する、という指摘。 TSAC ActiveX コントロールのバッファオーバーランにより、コードが実行される (Q327521) (MS02-046) の修正プログラムを適用すると、この問題についても修正されるのだそうだ。

2002.10.29 追記:

　Onodera さんから (情報ありがとうございます):

この問題は、MS02-046 の適用だけでは、解決しない場合があります。 すでに、TSAC を利用していた環境に MS02-046 を適用した場合は、 脆弱なファイルが残る場合があります。 その場合は、手動で別途削除により対策することができます。 詳しくは、以下をご覧ください。

JP327521 : [MS02-0046] TSAC ActiveX コントロールのバッファ オーバーランによりコードが実行される
http://support.microsoft.com/default.aspx?scid=kb;ja;JP327521

　「Connect.asp が (中略) Default.htm に置き換えられます (中略) connect.asp は自動的に削除されません。 (中略) この問題は、Windows XP Service Pack 1 を適用することでも解決します」(「インストール情報」) だそうです。_o_

■ VU#887393: Microsoft Windows 2000 SNMP service leaks memory when querying printer objects if spooler service is stopped
(CERT/CC, 2002.10.24)

　Windows 2000 において、Print Spooler サービスが起動しておらず、かつ SNMP サービスが起動している場合に、LANMAN MIB (具体的には 1.3.6.1.4.1.77.1.2.28.0) を参照すると SNMP サービスがメモリを食いつぶしてしまい、結果として DoS 状態に陥ってしまうという。

　Windows 2000 SP3 で修正されているそうで。

■ Windows 2000 マシンの認証を Linux 上の Kerberos サーバで行なう方法
(monyo.jp, 2002.09.29)

　MIT Kerberos 5 で Windows 2000 を認証させる方法。 monyo さんち にはいろいろと有用なドキュメントがあって素敵です。

■ IPA、第3四半期の不正アクセス届出状況を発表〜届出数は前年の約半数
(INTERNET Watch, 2002.10.25)

　port scan に関する情報提供は、ぜひ JPCERT/CC へ。 (あくまで情報提供、ね)

■ 不正侵入後に仕掛けられる「rootkit」の脅威
(日経 IT Pro, 2002.10.25)

　chkrootkit を仕掛けるのは難しくないので、ぜひやっておきませう。 いまどきの Linux だと tripwire も標準添付だし、FreeBSD も ports に入ってます (security/tripwire)。関連:

■ 2002.10.25

■ 安心・安全に使えるISPのあり方を目指して〜JAIPA中村氏講演
(INTERNET Watch, 2002.10.24)

　「インターネット接続サービス安全・安心マーク」って、しょせんアリバイづくりでしかないように聞こえるんだが……。実態としてのセキュリティ向上、が期待できるのかなあ。 インターネット接続サービス安全・安心マーク［審査項目］ を見る限り、何をして適切だと定義するのか不明だし。 安全・安心マーク使用許諾審査料金表 に見合った内容、なんでしょうし。 まあ、ないよりはマシなんだろうけど、あったからと言って……。

■ 追記

　2002.10.22 の 富士ゼロックス株式会社製印字装置（エンジン）搭載の モノクロレーザープリンター等の無償部品交換について に追記した。今 Xerox さんが来て直しているので詳細を聞いてみた。うーむ、そこまでやるか。

■ 2002.10.24

■ IEに9つの脆弱性——イスラエル企業が「辛抱しきれず」警告
(ZDNet, 2002.10.23)

　もと記事: Vulnerable cached objects in IE (9 advisories in 1)。 IE 5.5 と 6.0 に 9 つの問題があり、それより前 (IE 5.01 SP2) や IE 6.0 SP1 には問題がない、とされている。ZDNet の

GreyMagicによれば、IE 5.5と6がこれらの弱点の影響を受けるが、最新のサービスパックをインストールすれば問題は修正されるという。

は、誤記だろう。

　この問題、Microsoft への通知直後に公開されてしまっているそうで、 問題の修正には 1.5〜3 か月は要すると考えられる。 IE 5.5 や 6.0 の利用者は IE 6.0 SP1 への移行を強く検討されたい。 5.01 SP2 な人は、そのままでもよいでしょう。

　……ところが、バーチャルネットハッカーっ娘 沙耶16歳 さんによると、 IE 6.0 SP1 でも 2 つの弱点が残るのだそうで。 http://security.greymagic.com/adv/gm012-ie/ にデモプログラムがあるそうなのだけれど、なんだかつながらないんだよなあ。

　……つながった。http://sec.greymagic.com/adv/gm012-ie/ では「IE 5.01 以前にはこの弱点はない」「IE 6.0 SP1 には "external" と "clipboardData" 脆弱性がある」となっている。 回避するには、アクティブスクリプトを off にする。

　Server: Apache/1.3.20 Sun Cobalt (Unix) mod_gzip/1.3.19.1a mod_ssl/2.8.4 OpenSSL/0.9.6b PHP/4.1.2 mod_auth_pam_external/0.1 FrontPage/4.0.4.3 mod_perl/1.25 かぁ。ふぅん……。

■ ルートサーバ攻撃、失敗に終わるも脅威を残す
(ZDNet, 2002.10.24)

　なんか、そういうことがあったみたいですね。

■ sendmailにOpenSSH——相次ぐソース・コードの改ざんに対抗する
(日経 IT Pro, 2002.10.18)

　そもそも ftp://ftp.sendmail.org/ や ftp://ftp.openssh.com/ が「信頼できる」サイトかどうかという話があると思う。 sendmail や openssh の事例では (多くの人がアクセスする) original site が改ざんされたが故に問題が発見されたわけだけど、 もっと局所的な攻撃が行われたとしたら、はたしてそれに気がつけるのか。

　「その情報って本物? あるいは、なぜ未だにこうなのか」 (間違っててごめん > FreeBSD) を A.D.2002 でしゃべった直後にこういうのがみつかるのは、 なんだかタイムリーすぎてあれだったり。つーか資料直せ > 俺。

　関連: Opinion：ソフトウェアのセキュリティ——信頼性という問題 (ZDNet)。

■ 2002.10.22

■ 三洋電機と富士写真フイルムのWebサイト改ざん，旧サーバーの放置とパッチ未適用が原因
(日経 IT Pro, 2002.10.21)

　telnetd ……。有名どころの telnetd 穴だとしたら、その「旧サーバー」というのはかなり古い (1 年以上更新されてない) と思うのだが……。富士フィルムの「社内のシステム部門からそのセキュリティ・パッチの適用を促されていたが，対応していなかった」というのも、なぁ……。

　「Web サイト改ざん」なんてハデな状況だからすぐわかったのだろうけど、もっとコッソリ系だったらどうなってたことやら。……なんてことを考え出すと半径 50m 以内的にも恐かったり。

■ ゾーン情報をタレ流す TLDネームサーバたち
(slashdot.jp, Saturday October 19, @06:48PM)

　いくつかの ccTLD や .int, .museum, .pro がそうなっている、という話。うーみゅ……。

■ お詫びとお願い ブラザーレーザープリンタ（HL-1040）ご愛用のお客様へ
(Mainichi INTERACTIVE Mail, 2002.10.21)

　ブラザー製レーザープリンタ HL-1040 でも「ごくまれに製品が焼損する可能性がある」のだそうで。無料部品交換してもらえるので電話しよう (電話するしかない模様)。

■ 富士ゼロックス株式会社製印字装置（エンジン）搭載の モノクロレーザープリンター等の無償部品交換について
(Mainichi INTERACTIVE Mail, 2002.10.21)

　富士ゼロックス製エンジンを塔載した「モノクロレーザープリンター/デジタル複合機/ファクシミリ」の一部で、最悪の場合、発火する事故が発生する恐れがあるそうです。富士ゼロックス製エンジンは、富士ゼロックス自身の他、カシオ計算機、兼松エレクトロニクス、セイコーエプソン、東芝、IBM、ブランズウィック、日立、富士通、松下、武藤工業、村田、メモレックス・テレックス、リコーでも使われているそうなので、これらのメーカの製品を利用しているユーザは、必ず型番を確認し、該当している場合はエンジンを交換してもらおう。無償で交換してもらえる。

　すでに発火事故が 2 件確認されているそうだ。ヤバい。

2002.10.25 追記:

　手元の Laser Press 4150 II を Xerox さんが来て直してくれているのでちょっと聞いてみた。今回の事例は

  1. とある 2 つの金属部品の接合部が熱を持ってしまい

  2. その熱を持つ部分の直下に存在するレバー部品が耐熱性でなかった

ために、熱を持つ→レバーが発火という連鎖が発生した模様。対策は:

  1. 接合部が存在しない一体型部品に交換

  2. レバー部品を耐熱性部品に交換

  3. 電源ケーブルを、漏電ブレーカつきケーブル (コピー機についているような奴) に交換。

　1 と 2 はふつうだが、3 は……。うーむ、そこまでやるか。

　Xerox さんは正月返上で対応にあたるそうで。たいへんです。

2002.12.04 追記:

　富士ゼロックス製レーザープリンタエンジンで再度焼損事故 〜告知と該当顧客の捕捉を強化。

■ 2002.10.21

■ 2002.10.18

■ Webサイトを開くだけでトロイの木馬が送り込まれる「ウィルスサイト」 〜ロシアのKasperskyが発見。今後のウィルス対策に重要な示唆
(INTERNET Watch, 2002.10.17)

　どうして「Java や JavaScript には注意しよう、デフォルトで無効にしておくのが安全」という方向に話が進まないのだろう。 この事例の場合、Java / JavaScript が無効なら回避できていたってコトですよね?

■ マイクロソフト、「マックからの乗り換え体験談」をでっち上げ？
(WIRED NEWS, 2002.10.16)

　Microsoft Office 文書による個人情報漏曳に注意しよう、ということなのかな。

　世の中には ゲートウェイも『Office』離れ (CNET) なんて話もあるようですが、対抗製品ならそういう問題はなかったりするのかなあ。

■ 安全なソフトしか実行させないアンチウィルスソフト「Abtrusion Protector」
(INTERNET Watch, 2002.10.15)

　スキルの低い人は危険なモノも「安全」だと判断しかねないからなぁ……。 「安全」なソフトウェアを悪用するヤツ (JavaScript モノとか) にも効かないだろうし。 そういう限界を認識した上で、より安全を目指すために利用するソフトなのでしょう。 デジタル署名サポートは楽しそうだなあ。

Abtrusion Protector Personal Edition is free for non-commercial, personal use on one workstation computer in a non-network environment. If the product is installed on a server or on a computer connected to a domain, a LAN with a dial-up connection to a corporate network, a paid license key will be required.

なにこれ。いまどき non-network environment なんてどのくらいあるんだ。 まあ、workstation は $20 なので、めちゃくちゃ高いものではないのですが。 server $400 はチト高いと思うぞ。

■ 技術者の技術が激突する「セキュリティ・スタジアム」が開催
(INTERNET Watch, 2002.10.16)

　関連 (日経 IT Pro):

　SecurityFriday さん作のパスワード・チェッカー、わたしも試してみましたが、なかなか厳しいです。 ローボコン、0 点。

■ 2002.10.15

■ 2002.10.11

■ FreeBSD-SN-02:06 security issues in ports
(FreeBSD-announce ML, Thu, 10 Oct 2002 22:03:17 +0900)

　ports にあった問題総ざらえ。 not fixed になっているのは mozilla, mozilla-devel, pkzip。

　今気がついたのだけど、SA、SN、それから patch には GPG 署名がありますね (あぁ、訂正しとかなきゃ……)。 少しでも安全性を高めたい人は GPG 署名を確認した上で patch を使え、になるのかな。 でも経験上、patch って、単体検証しかされてないっぽいんだよね。 patch を順番に適用していくと、途中で reject されちゃったりした経験あるので。 いいかげん嫌になって、手元では CVSup するようにしちゃった。なので気がつかなかったって事で (いいわけモード)。

　SA には 

src/lib/libkvm/kvm.c
  RELENG_4                                                       1.12.2.3
  RELENG_4_6                                                 1.12.2.2.8.1
  RELENG_4_5                                                 1.12.2.2.6.1
  RELENG_4_4                                                 1.12.2.2.4.1
という情報があるけど、これらバージョンのファイルの MD5 値あたりが書いてあれば、それで正当性を検証できそう。 MD5 値自体は GPG 署名で検証できるし。で、GPG 署名自体の検証は……

■ Outlook Express の S/MIME 解析の未チェックのバッファによりシステムが侵害される(Q328676) (MS02-058)
(Microsoft, 2002.10.11)

　Outlook Express 5.5, 6.0 に弱点。S/MIME のデジタル署名に問題があった場合に警告メッセージが表示されるのだが、この処理においてバッファオーバーフローしてしまう。この弱点を利用すると、悪意ある S/MIME メール送信者は Outlook Express を動作させるユーザの権限で任意のコードを実行させることができる。 なお、IE 6.0 SP1 または Windows XP SP1 を利用している場合は、この弱点は存在しない。

　参照: Outlook Remote Code Execution in Preview Pane (S/MIME) (SecuriTeam)。 CVE: CAN-2002-1179

　patch があるので適用すればよい。が、個人的には、Outlook Express ユーザは特に、IE 6.0 SP1 へ移行したほうがよいと思う。いろいろな設定が安全側に倒れているし、

テキスト形式電子メールのオプション

Outlook Express はすべてのメッセージをテキスト形式で読むことができるようになりました。ユーザーは [ツール] - [オプション] - [読み取り] の [メッセージはすべてテキスト形式で読み取る] によってこのオプションを設定できます。このオプションを選択すると、すべての受信メールはテキスト形式で表示されます。このオプションは既定では有効になっていません。

という機能もあるし (from README。ウイルス発見届出状況(9月分) (IPA) に画像あり)。有効にしましょう。安全側に倒れた中では、

ウイルス防止機能

電子メール ウイルスに感染する危険性については、更新された保護機能が対応しています。プログラムによる送信をブロックし、添付ファイルを開くかどうか確認することができます。あらかじめ設定された一覧にあるファイルの種類をブロックするこのオプションは [ツール] メニューの [オプション] の [セキュリティ] タブにある [ウイルスの可能性がある添付ファイルを保存したり開いたりしない] チェックボックスによってアクセスされます。このオプションは新規インストールやアップグレードでは既定の設定で有効になっています。

がひっかかりやすそうなので注意しましょう。 .exe や .pif はともかく、.doc や .xls な添付ファイルもこれに該当しますから。 対象となるファイルは……どこで定義されてるんだったかな。忘れた……。

■ 連載　不正侵入の手口と対策 第1回 攻撃者側から見た侵入前の事前調査（下見）
(@IT, 2002/10/11)

　443/tcp や 5680/tcp の調査のしかたも出ています。

■ 追記

　2002.10.10 の [stalk:01385] [FYI] 解法？ IEの content-type無視問題 に追記した。<plaintext> を行頭に置くのがいちばん簡単かつ確実な模様。

■ 住基ネットねた
(various)

■ 2002.10.10

■ Services for Unix 3.0 に含まれる Interix SDK の問題によりコードが実行される (Q329209) (MS02-057)
(Microsoft, 2002.10.03)

　Sun RPC 弱点話。日本語版 SFU 3.0 (beta 含む) にはこの問題はないそうで。

■ Cisco Secure Content Accelerator vulnerable to SSL worm
(bugtraq, Fri, 04 Oct 2002 04:37:31 +0900)

　Cisco Secure Content Accelerator 11000 は slapper worm の攻撃を受けると DoS 状態になってしまう、という指摘。 フォロー によると 3.2.0.20 版で fix されているそうな。

■ Oracle 関連
(oracle, 2002.10.10)

■ SQL Server 用の累積的な修正プログラム (Q316333) (MS02-056)
(Microsoft, 2002.10.03)

　SQL Server 7.0/2000, MSDE 1.0/2000 に新たな弱点。

　patch があるので適用すればよい。これは累積的 patch だ。ただし:

　[VulnWatch] Notes on the SQL Cumulative patch も参照。

■ solution 4949: InterScan VirusWall NT: SMTP：HTTP：FTP：gzip形式で圧縮されたウイルスが検出できない
(トレンドマイクロ, 2002.10.09)

　InterScan VirusWall for Windows NT ver. 3.53 以下に弱点。 gzip で圧縮されたウィルスを発見できない場合がある。 3.53 用の patch が出ているので適用すればよい。3.52 以前の場合は、3.53 に upgrade する必要がある。

　この弱点は InterScan VirusWall for UNIX には存在しない。

■ vulnerabilities in logsurfer
(bugtraq, Sat, 05 Oct 2002 02:09:11 +0900)

　logsurfer 1.15a 以前にいくつかの弱点。off-by-one バグがある他、readcfg() で利用しているバッファの中に、初期化していないものがある。 1.5b で修正されている。 ftp://ftp.cert.dfn.de/pub/tools/audit/logsurfer/ から入手できる。

■ iDEFENSE Security Advisory 10.02.2002: Net-SNMP DoS Vulnerability
(bugtraq, Thu, 03 Oct 2002 05:14:45 +0900)

　Net-SNMP 5.0.1, 5.0.3, 5.0.4.pre2 に弱点。 snmp デーモンに特殊なパケットを送ると crash するみたい。 Net-SNMP 5.0.5 で直っているそうで。

　CVE: CAN-2002-1170

■ Strange Attractors and TCP/IP Sequence Number Analysis - One Year Later
(bugtraq, 2002.09.10)

　Strange Attractors and TCP/IP Sequence Number Analysis (CA-2001-09) のその後の状況を追跡したレポート、だそうです。 なんとかしてください > Windows 他。

■ [stalk:01385] [FYI] 解法？ IEの content-type無視問題
(stalk ML, Thu, 10 Oct 2002 01:19:10 +0900)

　多くの人を悩ましてきた、IE が MIME content-type 指定を無視してしまう問題だが、

Content-Disposition: attachment; filename=test.txt

のように「.txt 拡張子つきの添付ファイル」と指定すれば回避できる、という指摘。 求む追試。

2002.10.11 追記:

　XSS text/plain問題 (MoonWolf 氏)。 <plaintext> を行頭に置くのがいちばん簡単かつ確実な模様。

■ UNIX fixes
(various)

　いいかげん溜っているので……。

Red Hat Linux
Debian GNU/Linux
Turbolinux
Vine Linux

  • xchat にセキュリティホール 2.5

  • python にセキュリティホール 2.5

  • XFree86 にセキュリティホール 2.5

    [Xpert]XFree86 4.2.1 update release and Xlib security problem の件。XFree86 4.2.0 に存在する問題で、4.2.1 では修正されている。 4.2.0 用 patch があるので適用してもよい。

  • namazu にセキュリティホール 2.5

  • PostgreSQL にセキュリティホール 2.5

Miracle Linux
NetBSD
HP Tru64 UNIX
HP HP-UX
OpenBSD

■ 2002.10.09

■ CERT Advisory CA-2002-28 Trojan Horse Sendmail Distribution
(タレコミ, Wed, 09 Oct 2002 06:37:36 +0900)

　sendmail 8.12.6 のトロイ入り版が出回っていた、という話。 トロイ入りを build すると、某ホスト (特定アドレス) の port 6667 に自動的につながってしまうようだ。ちなみに、

　麗美さん情報ありがとうございます。

　なお、www.sendmail.org には

We would like to thank Manabu Kondo and the staff at IIJ for bringing this to our attention.

とありますね。

■ 2002.10.08

■ 追記

　2002.08.22 の White paper: Exploiting the Win32 に追記した。MSDN コラムの邦訳版が登場してました。

■ 解説●危険なActiveXや Javaアプレットを作るな（上）
(日経 IT Pro, 2002.10.01)

　ActiveX はなんでもアリですからねえ。「プログラマのためのセキュリティ対策テクニック」でも、呼び出し元ドメインを制限する、といったことくらいしか述べられてないし。

■ Forensic とは何か?
(みっきーのネットワーク研究所, 2002.10.07)

　英辞郎で調べると、「forensic science: 科学捜査｛かがく そうさ｝、法医科学」とか「forensic search: 法機関［警察］による検査［捜査］」なんて出てますね。

　注目したいのはやまやまなのだが、当面の必要性と時間のなさが……。 日頃の鍛練がないとイザというときに困るのだけど、……。

■ 2002.10.07

■ FBIとSANS、最も危険なセキュリティー脆弱性のトップ20を発表
(INTERNET Watch, 2002.10.03)

　「危険な」じゃなくて「ありがちな」だと思う。 それはともかく、すごくよくまとまっているし、日本語版がほしいなあ。

■ SecurityFocus Newsletter #162, 163
(bugtraq-jp)

　HTML 版:

　テキスト版:

■ 追記

　2002.10.03 の Security Advisory APPLE-SA-2002-10-02 Stuffit Expander に追記した。 vm_converter 氏による追試結果登場。

■ ハッカーのミトニック氏、「ソーシャル・エンジニアリング」の著書を出版
(WIRED NEWS, 2002.10.07)

　おおっ!! こ、これは……。ミトニック氏といえばソーシャル、だと思うし。 どこかで訳してくれないかなあ。出たら絶対買うし。JPNIC / JPRS も買わなきゃだめだよ。

　そういえば、A.D.2002 ではなぜか「FREE UNYUN」という言葉が流行っていた……。

■ Opinion：ネットワークが安全だって？　考え直すべきだ
(ZDNet, 2002.10.04)

　ネットワーク機器、特にルータ、(ネットワーク) プリンタ、NAS に注意しろ、という記事。CISCO ルータあたりだとそれなりに security fix が出るのだけど、プリンタとか NAS って、びっくりするほど fix されませんよね。 A.D.2002 では UNYUN さんがネットワークカメラを exploit されていましたし。

■ BIND 4.9.10-REL released
(installer ML, Mon, 07 Oct 2002 11:44:41 +0900)

　bind 4.9.10 が出ています。ISC web page はまだ変更されていないようですが、 ftp server にはあります。 いまだに bind 4 (server / resolver) を使っている人は、乗りかえてください。 

        --- 4.9.10-REL released ---

821. [bug]      read buffer overflows.

820. [port]     __printf0like required for test build under FreeBSD.

819. [cleanup]  res_mkquery.c: kill buflen manipulation.

　MAXPACKET の定義が 

--- bind4/res/gethnamaddr.c:8.24        Wed Jun 26 07:46:29 2002
+++ bind4/res/gethnamaddr.c     Thu Aug  8 23:02:55 2002
@@ -117,11 +117,7 @@
 static void addrsort __P((char **, int));
 #endif
 
-#if PACKETSZ > 1024
-#define        MAXPACKET       PACKETSZ
-#else
-#define        MAXPACKET       1024
-#endif
+#define MAXPACKET (64*1024)
 
 typedef union {
     HEADER hdr;

なんて変わっているので client side (resolver) 利用者も要注意です。 最近 glibc 方面で resolver fix 入ってるの (Pine Internet Security Advisory PINE-CERT-20020601: Remote buffer overflow in resolver code of libc の 2002.10.02 追記) って、これですよね。

■ 注意したい，インスタント・メッセンジャのセキュリティ
(日経 IT Pro, 2002.01.04)

　IRC っていわゆる「インスタント・メッセージング」(IM) とは違うんだろうか。 いや、IRC は麻薬なので、IM も同じ感じだったらまずいと思って試してないんですが。

■ A.D.2002 こぼれ話
(AD2002, 2002.10.05〜06)

■ 2002.10.04

■ 追記

　2002.10.01 の Bugbear に関する情報 に追記した。関連情報を追記。

■ 追記

　2002.10.01 の Opaserv / Opasoft / Scrups 関連情報 に追記した。関連情報を追記。

■ Windows ヘルプ機能の未チェックのバッファにより、コードが実行される (Q323255) (MS02-055)
(Microsoft, 2002.10.03)

　Windows 98, 98SE, Me, NT 4.0, 2000, XP に弱点。 Windows の HTML ヘルプ関連で 2 つの弱点。

　patch があるので適用すればよい。

■ ファイル展開機能に含まれる未チェックのバッファにより、コードが実行される (Q329048) (MS02-054)
(Microsoft, 2002.10.03)

　Windows 98 + Plus! 98, Windows Me, Windows XP に弱点。 .zip ファイル対応機能に 2 つの問題がある。

　patch があるので適用すればよい。

■ [VulnWatch] R7-0004: Multiple Vendor Long ZIP Entry Filename Processing Issues
(VulnWatch, Thu, 03 Oct 2002 14:29:10 +0900)

　複数のソフトウェアにおいて、.zip ファイルの取りあつかいに問題がある。 長大なファイル名を含んでいる場合にバッファオーバーフローが発生してしまうため、 悪意ある .zip ファイル作成者が任意のコードを実行可能だという。

　問題があるとされているのは以下のソフト:

■ 今知っておくべき危険　第15回　不正コピーに関する判決の見方
(INTERNET Watch, 2002.10.03)

　素直に言うこと聞くよりも裁判した方がおトクかも、と判断していいのかな。 裁判自体にどのくらいのお金がかかるのか、私にはよくわからないけど。

■ [SECURITY RELEASE] Apache 1.3.27 Released
(タレコミ, Fri, 04 Oct 2002 05:04:47 +0900)

　Apache にいくつかの弱点があり、 1.3.27 と 2.0.43 がリリースされた。

　この他にも、Apache 2.0.43 では Prevent POST requests for CGI scripts from serving the source code when DAV is enabled on the location という変更がなされているそうだ。

　麗美さん情報ありがとうございます。

■ 2002.10.03

■ Security Advisory APPLE-SA-2002-10-02 Stuffit Expander
([email protected], Thu, 03 Oct 2002 05:53:34 +0900)

　Stuffit Expander 6.5.2 以前に弱点。 長大なファイル名のファイルを含む .zip アーカイブを展開する際にバッファオーバーフローが発生するため、悪意ある .zip アーカイブを利用して、展開するユーザの権限で任意のコードを実行させることが可能。 1999.11.08 のLhasa ver0.13 bufferOverflow Exploit のような話なのかな。

　石川さんによる翻訳版: [harden-mac:0131] APPLE-SA-2002-10-02 Stuffit Expander とフォロー: [harden-mac:0132]。

　Stuffit Expander 7.0 にはこの弱点がないので入れかえればよい。 とされているのだが、7.0 にはいささかよくないウワサがあるらしい: [harden-mac:0133] [macosx-jp:12985] [macosx-jp:12988] 。 7.0J 版はまだないらしい。ちょっと様子を見ておいた方がいいかもしれない。

　というものの、 [harden-mac:0134] にあるように、この弱点を利用した攻撃は現実に可能だ。 様子を見ている間にヤラれるとシャレにならないので、 2002.01.28 番外編：Mac file execution vulnerability に示されている対策は施しておこう。 「必須ではないが有効な対処」に Stuffit Expander 話もある。

　CERT/CC VU#383779。

2002.10.07 追記:

　2002.10.07 番外編： 『Security Advisory APPLE-SA-2002-10-02 Stuffit Expander』について (vm_converter 氏)。 Stuffit Expander 7.0 は、新しめのものだと、bzip2 や binhex が伸張・展開できない問題が修正されているようです [macosx-jp:12995]。 が、まだファイル展開時に文字化けすることがある問題が残っているようです [macosx-jp:13004] [macosx-jp:13006]。

　OpenUp というものがあるのですね。知りませんでした。

■ 2002.10.02

■ iDEFENSE Security Advisory 10.01.02: Sendmail smrsh bypass vulnerabilities
(bugtraq, Wed, 02 Oct 2002 04:06:25 +0900)

　sendmail 8.11.6 以降に付属の smrsh に弱点。 smrsh による .forward 内起動コマンドの制限を、 2 つの方法で突破できてしまう。 修正するには patch を適用する。

　CVE: CAN-2002-1165

2003.02.26 追記:

　sendmail 8.12.7 で fix されている。

■ MailMonitor 及び SAVI ユーザーの方へ：重要な情報
(Sophos, 2002.10.02)

　Sophos AntiVirus 3.62 において、「Windows 環境で MailMonitor 及び他の SAVI 互換アプリケーション」を利用している場合は 3.62 XRS 版を利用した方がよいのだそうだ。3.62 XRS は重要な情報ページから get できる。 3.61 以前、および UNIX 版など 3.62 の他のプラットホーム用では問題は発生しないようだ。

■ 解説 インサイド .NET Framework 第9回　コード・アクセス・セキュリティ（その1）
(@IT, 2002/09/27)

　これまでの IE まわりの経緯を見ても、「XXX を FullTrust にしてください」なんて堂々と指定する人は出てくるんだろうなあ。

■ 注意：4種類のワームの同時蔓延への注意
(ISSKK, 2002.10.02)

　Bugbear & Opaserv (Scrups) ねたの他、Slapper の新たな亜種 2 つが登場という話。

■ Windows XP の 「ヘルプとサポート センター」 の脆弱性に関する情報
(Microsoft, 2002.10.01?)

　指摘文: Delete arbitrary files using Help and Support Center [MSRC 1198dg]。 Windows XP SP1 で修正されている。

最後に、マイクロソフトは回避策の手順を公開すべきであったとの批評家からの意見もあります。具体的には、あるサード パーティの批評家により、お客様に当面の処置として 「ヘルプとサポート センター」 のファイルの 1 つを削除することが推奨されています。しかし、これは効果的な回避策ではありません。マイクロソフトは報告された特定の脆弱性を調査しただけではありません。マイクロソフトの通常の手順にしたがって、我々は関わりのある問題に関連する特徴や機能もチェックし、いくつかの問題を確認しました。これらのそのほかの脆弱性もまた、修正されたソフトウェアをインストールすることによってのみ、改善することができます。

というのは、指摘文の「Temporary solutions may be;」以下の事を言っているのかな。

2002.11.01 追記:

　MS02-060: Windows XP 「ヘルプとサポートセンター」の問題によりファイルが削除される (Q328940) で個別修正プログラムが公開されている。

■ 2002.10.01

■ Advisory 03/2002: Fetchmail remote vulnerabilities
(bugtraq, Sun, 29 Sep 2002 18:44:50 +0900)

　fetchmail 6.0.0 以前に弱点。いくつもの個所で buffer overflow する弱点があり、 悪意あるメール送信者により任意のコードを実行させることが可能だという。

　fetchmail 6.1.0 で修正されている。from NEWS: 

fetchmail-6.1.0 (Sun Sep 22 18:31:23 EDT 2002), 21999 lines:

* Updated French translation.
* Stefan Esser's fix for potential remote vulnerability in multidrop mode.
  This is an important security fix!

　FreeBSD ports の mail/fetchmail は、最新状態では 6.1.0 になっている。

2002.12.23 追記:

　CVE: CAN-2002-1174, CAN-2002-1175。

■ 「Windows 2000/XP」のPPTPにバッファーオーバーフローの脆弱性〜独企業が警告
(INTERNET Watch, 2002.09.30)

　元記事: Microsoft PPTP Server and Client remote vulnerability。 Windows 2000 / XP の PPTP クライアント / サーバに対して、remote から任意のコードを実行可能だ、としている。しかしそれ以上の情報はない。 fix 前に公開するのなら、いつ Microsoft に通知したのか、くらい書いてもいいと思うのだが……。

2002.11.01 追記:

　PPTP サービスの未チェックのバッファにより、サービス拒否の攻撃を受ける (Q329834) (MS02-063) が fix。

■ Bugbear に関する情報
(Microsoft, 2002.10.01)

　おなじみの MS01-020 穴を利用した攻撃メールに加え、ファイル共有を介しても感染する worm "Bugbear" が登場。これの影響で 137/udp scan が増えている模様 (incidents.org とか W32/BugBear malicious code (CERT/CC Current Activity) 参照) 。 バックドア + キーロガーなトロイの木馬を内蔵し、感染するとアンチウィルスやパーソナルファイアウォールを停止させようとするようです。

　しかし、Bugbear に関する情報 の「Internet Explorer についての対策」って、……。いやまあ、patch は全部適用したほうがいいのは確かですし、MS02-023 fix での「制限付きサイトゾーンでフレームを無効に」も有効なんですが、……。

　Alert:New worms, be aware of internal infection possibilities (ntbugtraq) では同時期に登場した Opaserv (別名 Scrup) についても言及しています。これはファイル共有を介してのみ感染するようです。

　匿名希望さん示唆ありがとうございます。

2002.10.03 追記:

　トレンド システム クリーナVer.3.0（TSC) (トレンドマイクロ) で駆除できるそうです。

2002.10.04 追記:

　Opaserv / Opasoft / Scrups 関連情報を分離。

■ Opaserv / Opasoft / Scrups 関連情報
(various)

　ファイル共有を介して (のみ) 感染するそうです。

2002.10.03 追記:

　トレンド システム クリーナVer.3.0（TSC) (トレンドマイクロ) で駆除できるそうです。

　……とか言っている間に亜種 W32/Opaserv-B 登場の模様。

2002.10.04 追記:

■ 協議開始から1年、セキュリティ情報開示ルールは確立するか
(ZDNet, 2002年9月30日)

　関連: ISS Apache Advisory Response ([email protected])。 このような場合に、真に最適なのは、どのような行動なのでしょうね。 答えのない世界だよなあ。

私について