[port139:00779] HFnetChk -nosum について

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 伊原です。

JWNTUG Open Talk 東京で話題になったので...

HFnetChk.exe ですが、日本語版で利用するには -nosum オプションを
利用する必要があります。
チェックサムを確認しないという意味ですが、これの影響がどの程度
あるのかなぁと思ったのですが、MS00-077 は影響受けますね。

http://www.microsoft.com/JAPAN/support/kb/articles/JP299/7/96.htm

MS00-077 の修正モジュールでは、callcont.dll を更新しますが、修正
モジュールに含まれるファイルのバージョンは 4.4.0.3385 です。
しかし、Windows 2000 Gold に含まれるファイルのバージョンも実は
4.4.0.3385 となっています。（更新日付は異なります）

Windows 2000 Gold のファイルと MS00-077 の修正モジュール含まれる
callcont.dll ファイルのハッシュ値を確認したものが以下になります
が当然の事ながら異なります。

□Windows 2000 Gold に含まれるファイル
siggen -h callcont.dll
--------------------------------------------------------------------------------
Signatures for file: callcont.dll

CRC32               ae7fca19
MD5                 9b44dd541e5550e7a1811528f1c1d1eb
SHA                 d51851953731f9ade72c092f4a1505d07bf19269
HAVAL               21601c99ffa9ab0e8d36a57320b68550

□MS00-077(Q299796_W2k_sp3_x86_ja.exe) hotfix に含まれるファイル
siggen -h callcont.dll
--------------------------------------------------------------------------------
Signatures for file: callcont.dll

CRC32               3b25ed50
MD5                 9b883164e6cab25c1a470ea839bf810a
SHA                 46b0e6a75ec779c6fc92bb053b5b59304bd5a04b
HAVAL               13370ac878ad6d6a1176e60345422cd5
--------------------------------------------------------------------------------

HFnetChk.exe を -nosum で実行した場合、チェックサムを検査せずに
ファイルバージョンでしか確認しない為、仮に callcont.dll が古い
脆弱性のあるファイルに更新されていてもそれを HFnetChk.exe で確
認することができません。
常にファイルのバージョンが上がるということであれば、-nosum でも
いいのかもしれませんが、人間のミスも考慮するとやはりチェックサム
も確認するようにしてくれないと危険ですね。
＃Tripwire 入れてれば、ファイルが古くなりゃわかりますが...
＃とりあえず大阪 Open Talk ネタかな B-)


---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/