[harden-mac:0359] 「APPLE-SA-2003-03-24 Samba, OpenSSL」に関するメモ

[vm_converter <vm_converter@xxxxxxx>]

石川です。

思いっきり出遅れてますが、また私的メモを流しておきます。

■Appleからの情報
○APPLE-SA-2003-03-24 Samba, OpenSSL
http://archives:archives@xxxxxxxxxxxxxxx/mhonarc/security-announce/msg00026.html

○上記の古暮さんによる翻訳版
・[harden-mac:0358]
http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/harden-mac/2003.03/msg00021.html
# いつも有難うございます。


■OpenSSL
SA中で対応したと述べられている脆弱性は以下。
○CAN-2003-0147
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0147

OpenSSL自体のバージョンはアップデートの前後で変わらず
% openssl version
OpenSSL 0.9.6i Feb 19 2003
のまま。これは、

○OpenSSL Security Advisory [17 March 2003]
http://www.openssl.org/news/secadv_20030317.txt

で提供されているpatchを当てているからだろう。

しかし、セキュリティホール memoさんの『OpenSSL 穴 2 つ』
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2003/03.html#20030324_OpenSSL
によれば、このCAN-2003-0147の他に、

○CAN-2003-0131
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0131

もあるはずなのだが、このSA及び、

○Apple Security Updates
http://docs.info.apple.com/article.html?artnum=61798

では、その点については触れられていない。

■Samba
SA中で対応したと述べられている脆弱性は以下。
○CAN-2003-0085
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0085
○CAN-2003-0086
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0086

アップデート前後でsmbdのバージョンが微妙に変わっている。
アップデート前は、
% smbd -V
Version 2.2.3a (build 23)
アップデート後は、
% smbd -V
Version 2.2.3a (build 25)

「CAN-2003-0085」該当分に関しては、
○ [harden-mac:0357] 
http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/harden-mac/2003.03/msg00020.html
にまとめたとおり。

「CAN-2003-0086」該当分に関しては...、「CAN-2003-0086」自体から
辿れる情報と、セキュリティホール memoさんの該当部
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2003/03.html#20030317_samba
から辿れる情報しか探せなかったのですが、そもそもこの脆弱性の勧告
ってどこかに上がってるものなんでしょうか？

# samba.orgを見て回っても「CAN-2003-0085」相当の情報しか
# 見当たらなかったのですが...。



-- 
石川 泰久／vm_converter
vm_converter@xxxxxxx

--[PR]------------------------------------------------------------------
　　　　　【 FreeML “ちょっとお得な”情報ページ 更新！！】
　
　　　　　プロ作成・高音質で好評の着メロサイト「着ムリョ♪」
　
　　　　▼まだ有料サイト？ => http://m.freeml.com/i.php?id=38
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp