[harden-mac:0266] Re: APPLE-SA-2002-12-19 Mac OS X 10.2.3

[ISHIKAWA Yasuhisa <vm@xxxxxxxxxxxxxxxxxx>]

石川です。

いつも有難うございます＞古暮さん

"Kogule, Ryo" <aqua_dabbler@xxxxxxx> wrote:

> ---------------------------------------------------------------
> これは <security-announce@xxxxxxxxxxxxxxx> に投稿された
> 
> Security Update 2002-11-21 is available
> 
> という記事の翻訳です。

APPLE-SA-2002-12-19 Mac OS X 10.2.3

という記事の翻訳です。

# ですよね (^^;;

> ・CUPS: プリンタ共有が稼働している時に，遠隔からの不正利用の可能性が
> ある以下の潜在的な問題を修正しています。Mac OS X や Mac OS X Server
> では，プリンタ共有は出荷時の設定では稼働していない状態になっています。
>          CAN-2002-1383:  Multiple Integer Overflows
> 　　　　　　　　　　　　　（複数の整数オーヴァフロー）
>          CAN-2002-1366:  /etc/cups/certs/ Race Condition
> 　　　　　　　　　　　　　（/etc/cups/certs/ の競合状態）
>          CAN-2002-1367:  Adding Printers with UDP Packets
> 　　　　　　　　　　　　　（UDP パケットによるプリンタの追加）
>          CAN-2002-1368:  Negative Length Memcpy() Calls
> 　　　　　　　　　　　　　（負数長の Memcpy() 呼出し）
>          CAN-2002-1384:  Integer Overflows in pdftops Filter and Xpdf
> 　　　　　　　　　　　　　（pdftops フィルタと Xpdf の整数オーヴァフロー）
>          CAN-2002-1369:  Unsafe Strncat Function Call in jobs.c
> 　　　　　　　　　　　　　（jobs.c 内にある安全でない Strncat 関数の呼出し）
>          CAN-2002-1370:  Root Certificate Design Flaw
> 　　　　　　　　　　　　　（？）
>          CAN-2002-1371:  Zero Width Images in filters/image-gif.c
> 　　　　　　　　　　　　　（filters/image-gif.c 内の零長画像）
>          CAN-2002-1372:  File Descriptor Resource Leaks
> 　　　　　　　　　　　　　（ファイルディスクリプタの資源漏れ）

以下、「Root Certificate Design Flaw」の訳に関して。

ただ、私がCUPSを運用していなくてよく解らないので、他の方の意見を求める
為のポインタ提示だけです。

この件、iDEFENSEが公開した、

○iDEFENSE Security Advisory 12.19.02: 
Multiple Security Vulnerabilities in Common Unix Printing System (CUPS)
http://www.idefense.com/advisory/12.19.02.txt

○上記のもののBugtraqへの投稿
http://online.securityfocus.com/archive/1/304031

を指しておりますが、

>          CAN-2002-1370:  Root Certificate Design Flaw
> 　　　　　　　　　　　　　（？）

の部分は、「**** ISSUE 3 - Adding Printers with UDP Packets/ Root 
Certificate Design Flaw ****」の「A consequence of 〜」から始まる
パラグラフに相当します。

で、このパラグラフの意味が良く解らないと言いますか、
「The http backend will then authorize with the current local root 
　certificate, as this is the same certificate that is needed to 
　access the administrative section of the web server.」
の一文の意味が具体的に解らないので、他の方の意見を待ちたいと思って
おります。

解ってないのに読んだ印象だけで言うと、
Root Certificate Design Flaw ＝ 管理者認証設計の欠点
でしょうか...。
# root権限でコマンドを実行できるprinterを作れるってことなので
# 超訳すれば“rootをとれる穴”なんですが。(^^;;

-- 
石川 泰久／vm_converter
vm@xxxxxxxxxxxxxxxxxx

--[PR]------------------------------------------------------------------
‥…━━今年最後の大チャンス！豪華商品があなたに当たるかも！？━━…‥
　┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓┏━┓
　┃Ｖ┃┃Ａ┃┃Ｉ┃┃Ｏ┃┃＆┃┃ホ┃┃テ┃┃ル┃┃宿┃┃泊┃┃券┃
　┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛┗━┛
締切り間近！⇒ http://ad.freeml.com/cgi-bin/ad.cgi?id=b45ld
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp