Return-Path: owner-bugtraq-jp@SECURITYFOCUS.COM X-Mailer: Winbiff [Version 2.20 PL4] Mime-Version: 1.0 Content-Type: text/plain; charset=iso-2022-jp Message-ID: <199911162109.DAD80767.BJTBL@lac.co.jp> Date: Tue, 16 Nov 1999 21:09:22 +0900 Reply-To: SAKAI Yoriyuki Sender: BUGTRAQ-JP List From: SAKAI Yoriyuki Subject: Security Focus Newsletter #14,#15 1999-11-02 -> 1999-11-14 (1/2) X-To: BUGTRAQ-JP@SECURITYFOCUS.COM To: BUGTRAQ-JP@SECURITYFOCUS.COM -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 坂井@ラックです。 Security Focus Newsletter 第 14, 15 合併号の和訳をお届けしま す。訳のない項目については「日本語訳なし」として区別してあります。 なお今号は弱点の件数が多いため二回に分けてお届けします。 今回お送りするのは以下の目次の「I. 初めに」、「II.今週の Bugtraq から」 です。 Security Focus Newsletter に関するFAQ: BugTraq-JP に関する FAQ: - --------------------------------------------------------------------- - --------------------------------------------------------------------- 引用に関する備考: ・この和訳は Security Focus の許可を株式会社ラックが得た上で行われて います。 ・Security Focus Newsletter の和訳を Netnews, Mailinglist, World Wide Web, 書籍, その他の記録媒体で引用される場合にはメールの 全文引用をお願いします。 ・日本語版ニュースレター 1 号から 3 号までにはこの備考が付いていませ んが準用するものとします。 ・また、Security Focus 提供の BugTraq-JP アーカイブ [*1] へのいかなる 形式のハイパーリンクも上記に準じてください。 1) - --------------------------------------------------------------------- - --------------------------------------------------------------------- この和訳に関する備考: ・この和訳の適用成果について株式会社ラックは責任を負わないものとしま す。 - --------------------------------------------------------------------- - --------------------------------------------------------------------- Security Focus Newsletter 第 14, 15 合併号 目次: I. 初めに 1. Securityfocus.com の新人紹介(日本語訳なし) 2. Elias Levy が National Public Radio に出演しました II. 今週の BUGTRAQ から 1. Multiple Vendor CDE dtappgather Vulnerabilities (Update) 2. Canna subsystem 'uum' Buffer Overflow Vulnerability 3. Canna subsystem 'canuum' Buffer Overflow Vulnerability 4. Microsoft IE Yamaha MidiPlug Buffer Overflow Vulnerability 5. BTD Zom-Mail Buffer Overflow Vulnerability 6. AN-HTTPd CGI Vulnerabilities 8. Hylafax 'faxalter' Buffer Overflow Vulnerability 9. Microsoft IE window.open Redirect Vulnerability 10. Real Server Administrator Port Buffer Overflow Vulnerability 11. NT Spoolss.exe Buffer Overflow Vulnerabilities 12. NT Spoolss.exe DLL Insertion Vulnerability 13. Cobalt RaQ2 cgiwrap Vulnerability 14. Alibaba Multiple CGI Vulnerabilties 15. MS ActiveX CAB File Execution Vulnerability 16. Byte Fusion BFTelnet Long Username DoS Vulnerability 17. FTGate Directory Traversal Vulnerability 18. Etype Eserv Directory Traversal Vulnerability 19. Sendmail Socket Hijack Vulnerability 20. Guestbook CGI Remote Command Execution Vulnerability 21. Artisoft XtraMail Multiple DoS Vulnerabilities 22. BigIP Config UI Vulnerabilities 23. Microsoft IE for Win98 file:// Buffer Overflow Vulnerability 24. Seyon Relative Path Vulnerability 25. IrfanView32 Image File Buffer Overflow Vulnerability 26. Linux nfsd Remote Buffer Overflow Vulnerability 27. TransSoft Broker User Name Buffer Overflow Vulnerability 28. Windows 95/98 UNC Buffer Overflow Vulnerability 29. RedHat Linux csh/tcsh Vulnerability 30. Immunix StackGuard Evasion Vulnerability 31. InterScan VirusWall Long HELO Buffer Overflow Vulnerability 32. Multiple BIND Vulnerabilities 33. IMail POP3 Buffer Overflow Denial of Service Vulnerability 34. NetCPlus SmartServer3 POP Buffer Overflow Vulnerability 35. Microsoft ActiveX Error Message Vulnerability 36. MacOS9 NDS Client Inherited Login Vulnerability III. パッチ情報 1. WFTPD Remote Buffer Overflow Vulnerability 2. InterScan VirusWall Long HELO Buffer Overflow Vulnerability 3. Windows 95/98 UNC Buffer Overflow Vulnerability 4. Multiple BIND Vulnerabilities 5. IrfanView32 Image File Buffer Overflow Vulnerability 6. Linux nfsd Remote Buffer Overflow Vulnerability 7. Cobalt RaQ2 cgiwrap Vulnerability 8. MS ActiveX CAB File Execution Vulnerability 9. Immunix StackGuard Evasion Vulnerability 10. IMail POP3 Buffer Overflow Denial of Service Vulnerability 11. NT Spoolss.exe Buffer Overflow Vulnerabilities and NT Spoolss.exe DLL Insertion Vulnerability 12. FTGate Directory Traversal Vulnerability 13. AN-HTTPd CGI Vulnerabilities 14. IBM HomePagePrint Buffer Overflow Vulnerability IV. 今週の INCIDENTS から 1. possible trojan/virus issue solved (Thread) 2. port 109 (Thread) 3. Re: Logging hosts (Thread) 4. Mail-relaying probing (Thread) V. 今週の VULN-DEV RESEARCH LIST から 1. Re: FreeBSD listen() (Thread) 2. ssh-1.2.27 remote buffer overflow - exploitable (Thread) 3. Re: thttpd 2.04 stack overflow (Thread) 4. MS Outlook javascript parsing bug (Thread) 5. Re: Open Port on Win98 box (Thread) 6. minor (?) mc bug (Thread) 7. [Fwd: [Fwd: ICQ 2000 trojan/worm (VD#5)]] (Thread) VI. 求人案内(日本語訳なし) VII. セキュリティ調査 VIII. Security Focus が選ぶ上位6位のツール 1. Security Focus Pager (NT/98) 2. Snoot 1.3.1 (UNIX) 3. BUGS 2.0.1 (NT/UNIX) 4. NSS Narr0w Security Scanner (PERL) 5. cgi-check99 v0.3 0.3 (NT/UNIX) 6. guard (UNIX) IX. スポンサー情報(日本語訳なし) X. Security Focus Newsletter の購読・購読解除情報 I. 初めに - ----------- NT OBJECTives, Inc. の提供による、 Security Focus がお送りする週刊ニューズレターの第 14, 15 合併号へよう こそ。 皆さんはすでにご存知でしょうが、第 14 号は配送できませんでした。これ は何かの負荷が Listserver の動作を阻害してしまった可能性があるためで す。。 さて、この2週間は 36 件もの弱点が報告される、今までの Bugtraq の歴史 の中で第2番目にリストに弱点が報告された数が多い週でした。 1. SecurityFocus.com の新人紹介(日本語訳なし) - --------------------------------- We would like to take this opportunity to welcome two newcomers to the SecurityFocus.com team. Joining us are Stephanie Fohn as the Chief Operating Officer at SecurityFocus.com (sfohn@securityfocus.com) and Chip Mesec as the VP of Marketing. Stephanie Fohn - COO(日本語訳なし) - ---------------------------------- Stephanie has a broad base of management and entrepreneurial experience, with particular expertise in the Internet security area. Most recently, she served as an interim senior management consultant, filling roles such as Vice President of Marketing for Tripwire Security Systems and Director of Distribution Partnerships for Infoseek. Previously, Stephanie served as director of business development and marketing for Pilot Network Services, Inc., a provider of secure Internet access for corporations. Prior to joining Pilot, Stephanie spent six years in venture capital and investment banking in the technology arena. Stephanie holds an M.S. degree in management from Massachusetts Institute of Technology and bachelor's degrees in business and psychology >from University of Washington. Chip Mesec - VP Marketing(日本語訳なし) - --------------------------------------- Chip Mesec is responsible for Product and Corporate Marketing at SecurityFocus.com. Prior to joining SecurityFocus.com, Chip was the VP of Marketing with Cyber SIGN Inc., a company that marketed electronic biometric signatures. He has over 12 years of computer security and network experience with positions as Director of Product Management for Security Products at Network Associates Inc., and five years of Product Management and Marketing manager for Network General Corporation, which merged with McAfee Associates to form Network Associates. Prior to joining Network General, Chip served as a development engineer on PC and networking hardware products at AT&T Bell Laboratories. 2. Elias Levy が National Public Radio に出演 - --------------------------------------------- Aleph Oneとして皆さんご存知の Elias Levy が「サイバーテロリズム」という 話題で National Public Radio のインタビューを受けました。 このインタビューの模様は以下の URL から入手可能です。 http://www.npr.org/ramfiles/me/19991112.me.10.ram II. 今週の BUGTRAQ から 1999-11-02 から 1999-11-14 まで - -------------------------------------------------------- 1. Multiple Vendor CDE dtappgather Vulnerabilities BugTraq ID: 131 リモートからの再現性: なし 公表日: 1999-11-03 関係したURL: http://www.securityfocus.com/bid/131 まとめ: パーミッションの確認が適切ではないため、 CDE (the Common Desktop Environment) に付属する dtappgather ユーティリティは悪意あるユーザがファイルシステ ム上にあるどのようなファイルであってもパーミッションに関係なく上書きす る事を許してしまう。 dtappgather はログインセッション毎に一次ファイルを作成するためにディレ クトリへ 0777 のパーミッションを与えている。 しかし、 /var/dt/appconfig/appmanager/generic-display-0 という一時ファ イルに対しては、 dtappgather がファイルを開くにあたって、事前に存在す るかどうかの確認がないのだ。そして、もしもこの一時ファイルからシンボ リックリンクを他のファイルシステム上のファイルへユーザが作成した場合、 ファイルのパーミッションは 0666 に変わってしまうのだ。 また他の問題が DTUSERSESSION 環境変数を dtappgather がやみくもに信用す るために発生してしまう。この値をファイルシステム上のファイルを指し示す 様に設定することで、ファイルのパーミッションが変更できてしまうのである。 dtappgather は /var/dt/appconfig と結び付けられているため、 / ディレク トリを指すためには一連の .. を含む文字列が必要である。そこで .. を環境 変数へ含ませることでどのようなファイルであっても dtappgather がアクセス できてしまえるのである。 2. Canna subsystem 'uum' Buffer Overflow Vulnerability BugTraq ID: 757 リモートからの再現性: なし 公表日: 1999-11-02 関係したURL: http://www.securityfocus.com/bid/757 まとめ: Canna はフリーソフトウェアとして利用可能な日本語入力システムである。 Canna は日本語入力のためのユーザインタフェースに様々な形態を提供して いる。 Canna は Nemacs(Mule)、kinput2、および canuum をサポートしている。 これらツールは単一のカスタマイズを行うファイルでローマ字からかなへの 変換ルールと変換用の辞書、日本語の語句の入力方法の切り替え方法を提供 している。 Canna は「かな」から「漢字」へクライアント-サーバモデルに基づいた変換 機能を提供し、自動的な「かな」から「漢字」への変換機能を提供している。 特定の UNIX に含まれる Canna のサブシステムである uum にはバッファオー バーフローを発生する弱点がある。 uum とは tty を介した文字の入力を行う ための Canna のフロントエンドプロセッサである。 しかし、uum の特定のバージョンには -D オプションを付けユーザが与えたデー タを未チェックで利用する様に設定した場合、バッファオーバーフローを生じ る弱点がある。uum は suid root でインストールされるため、バッファオーバー フローの結果、 root 権限が取得できてしまうのだ。 3. Canna subsystem 'canuum' Buffer Overflow Vulnerability BugTraq ID: 758 リモートからの再現性: なし 公表日: 1999-11-02 関係したURL: http://www.securityfocus.com/bid/758 まとめ: Canna はフリーソフトウェアとして利用可能な日本語入力システムである。 Canna は日本語入力のためのユーザインタフェースに様々な形態を提供して いる。 Canna は Nemacs(Mule)、kinput2、および canuum をサポートしている。 これらツールは単一のカスタマイズを行うファイルでローマ字からかなへの 変換ルールと変換用の辞書、日本語の語句の入力方法の切り替え方法を提供 している。 Canna は「かな」から「漢字」へクライアント-サーバモデルに基づいた変換 機能を提供し、自動的な「かな」から「漢字」への変換機能を提供している。 特定の UNIX に含まれる Canna のサブシステムである canuum にはバッファ オーバーフローを発生する弱点がある。 canuum とは tty を介した文字の入 力を行うために uum を利用する Canna のフロントエンドプロセッサである。 しかし、canuum の特定のバージョンには -k、-c、-n オプションを付けユー ザが与えたデータを未チェックで利用する様に設定した場合、バッファオー バーフローを生じる弱点がある。canuum は suid root でインストールされる ため、バッファオーバーフローの結果、 root 権限が取得できてしまうのだ。 4. Microsoft IE Yamaha MidiPlug Buffer Overflow Vulnerability BugTraq ID: 760 リモートからの再現性: あり 公表日: 1999-11-02 関係したURL: http://www.securityfocus.com/bid/760 まとめ: Internet Explorer に含まれるプラグイン、MidiPlug にはローカル環境で意図 したコードを実行させてしまうバッファオーバーフローが発生する弱点がある。 このオーバーフローはもしも Web ページ中にある EMBED タグに長いテキストの 値が示された場合に発生する。テキスト中に含まれる値で示されたプログラムは 悪意ある Web ページをユーザが訪れた際に実行される。 5. BTD Zom-Mail Buffer Overflow Vulnerability BugTraq ID: 761 リモートからの再現性: あり 公表日: 1999-11-02 関係したURL: http://www.securityfocus.com/bid/761 まとめ: 特定の BTD Zom-Mail サーバには悪意あるユーザによってリモートから権限を 剥奪されてしまうバッファオーバーフローが発生する弱点がある。この問題は 256 より長い名前のファイル名を持つファイルを添付したメールの取り扱いに 由来する。 6. AN-HTTPd CGI Vulnerabilities BugTraq ID: 762 リモートからの再現性: あり 公表日: 1999-11-02 関係したURL: http://www.securityfocus.com/bid/762 まとめ: 特定のバージョンの AN-HTTPD サーバにはデフォールトで含まれる CGI スク リプトがリモートからコードの実行を許してしまう弱点がある。これはユーザ が与えたデータが正しいかどうかの確認を十分に行っていないためである。 7. IBM HomePagePrint Buffer Overflow Vulnerability BugTraq ID: 763 リモートからの再現性: あり 公表日: 1999-11-02 関係したURL: http://www.securityfocus.com/bid/763 まとめ: IBM 製の Web ページを印刷するためのソフトウェアである IBM HomePagePrint の特定のバージョンには悪意ある Web サーバによってリモートから攻撃を受け てしまう可能性がある。この問題は IMG_SRC タグに含まれたコードによるバッ ファオーバーフローに由来する。 もしも特別に加工された IMC_SRC タグがあるページを HomePagePrint でプレ ビュー、あるいは印刷した場合、HomePagePrint が動作しているクライアント上 で意図的なコードが実行できてしまうのだ。 8. Hylafax 'faxalter' Buffer Overflow Vulnerability BugTraq ID: 765 リモートからの再現性: なし 公表日: 1999-11-03 関係したURL: http://www.securityfocus.com/bid/765 まとめ: Hylafax は複数の UNIX で動作する様に設計された著名な FAX サーバプログ ラムである。 いくつかのバージョンの Hylafax には faxalter という弱点があるサブプロ グラムが含まれてしまっている。このプログラムは suid uucp でインストー ルされ、悪意あるユーザが攻撃した場合 UUCP 権限を取得してしまうバッファ オーバーフローを発生してしまう。 Minicom (著名なモデム端末プログラム) や cu(1) といった重要なプログラム は root 権限で動作させるか、uucp グループに所属させ、uucpグループに書き 込み権限を与える。これはトロイの木馬に置き換え可能である。 このシナリオの成功結果は root 権限の取得である。 9. Microsoft IE window.open Redirect Vulnerability BugTraq ID: 766 リモートからの再現性: あり 公表日: 1999-11-04 関係したURL: http://www.securityfocus.com/bid/766 まとめ: JScript の要素、windows.open がターゲットの URL で呼ばれ、クライアント 内にあるファイルへリダイレクトされていた場合、新しいブラウザのウィンド ウの中を指し示すような値が生成される。新しいブラウザのウィンドゥの中身 (すなわちローカルにあるファイル)は読み出せてしまい、操作可能であり、さ らに Web ページ内の他のコードによって変換できてしまう。 10. Real Server Administrator Port Buffer Overflow Vulnerability BugTraq ID: 767 リモートからの再現性: あり 公表日: 1999-11-04 関係したURL: http://www.securityfocus.com/bid/767 まとめ: インストール時に、Real Server はランダムに使われていないポートをリモー トからの管理用のポート番号として選択する。このポート番号は Real Server のリモートからの Web 管理機能によって利用される。 この機能にアクセスするためには正しくポート番号、ユーザ名、パスワードを プログラムに示さねばならない。しかし、認証を求める要求に対して長いレス ポンスを送り返すことで、バッファは上書きされ、意図的なコードがサーバで 実行できてしまうのである。 11. NT Spoolss.exe Buffer Overflow Vulnerabilities BugTraq ID: 768 リモートからの再現性: あり 公表日: 1999-11-04 関係したURL: http://www.securityfocus.com/bid/768 まとめ: Windows NT のすべての印刷要求を受け付ける機能を提供している spoolss.exe すなわちプリントスプーラサービスには未チェックのバッファが存在する APIが ある。この機能は Power Users ないし Administrators グループに所属するユー ザによって実行可能である。しかし、機能の一部には認証されたすべてのユーザ がアクセスできてしまうものもあるのだ。多くのオーバーフローは EIP レジスタ へ直接書き込んでしまえるものであり、 SYSTEM 権限で意図的なコードを実行す るための攻撃ができ得る事を意味する。 12. NT Spoolss.exe DLL Insertion Vulnerability BugTraq ID: 769 リモートからの再現性: なし 公表日: 1999-11-04 関係したURL: http://www.securityfocus.com/bid/769 まとめ: スプーラデバイス (spoolss.exe) はローカルユーザ自身が所有する DLL ファイ ルの追加を許可し、SYSTEM 権限でそれら追加された DLL の実行を許可してしま う。これは Administraor レベルへの権限の上昇を招いてしまえる。 この問題は AddPrintProvider() 関数の問題である。 13. Cobalt RaQ2 cgiwrap Vulnerability BugTraq ID: 777 リモートからの再現性: なし 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/777 まとめ: Cobalt RaQ2 サーバには cgiwrap と呼ばれる nobody の代わりにプログラムの uid で CGI プログラムを動作させるための CGI プログラムのラッパープログ ラムが付属する。しかしこのプログラムはサーバ上に構築された Web サイトに 対する使用不能攻撃を起こしたり、Web データを危険な状態に晒してしまう。 cgiwrap は CGI プログラムがユーザディレクトリ内で実行されるための web という名称のサブディレクトリを利用する。もしもユーザが CGI プログラム が呼び出されるべきディレクトリと同じ名前のディレクトリを作成した場合、 cgiwrap はユーザのディレクトリに存在しないファイルを実行しようとしてし まう。最悪の場合を想定する場合、CGI プログラムは取り替えられてしまい、 重要なデータが Web フォームで処理できる状態に晒されてしまう。 14. Alibaba Multiple CGI Vulnerabilties BugTraq ID: 770 リモートからの再現性: あり 公表日: 1999-11-03 関係したURL: http://www.securityfocus.com/bid/770 まとめ: Alibaba webserver では何種類かの CGI プログラムが付属する。 しかし、それらプログラムは入力を行うための操作を正しく実装していないた め通常提供されている範囲外のファイルや Web サーバを安全に保つためのファ イルへのアクセス要求を許してしまう。これは攻撃者がサーバのどこのファイ ルであっても参照し、上書きし、生成し、削除できてしまうという状況が考え られる。 15. MS ActiveX CAB File Execution Vulnerability BugTraq ID: 775 リモートからの再現性: あり 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/775 まとめ: Javascript が有効になっている Outlook と Outlook Express にはリモートの 悪意を持ったユーザが意図的なコードを Outlook / Outlook Express が動作し ているコンピュータで実行できてしまう弱点がある。 悪意あるユーザは実行型ファイルを作成し、cab ファイルへ圧縮する。次いで、 例えば .MID の様なマルチメディア関連のファイルの拡張子がついているファイ ルへ名前を変更する。その後悪意あるユーザは数個の Javascript のコード と一緒に Outlook を利用しているユーザへメールを添付ファイルとして送付す る。受け取ったユーザがマルチメディア形式に見せかけたファイルをダブルクリッ クによって開封した際、システム上で既知の場所へ実行型ファイルが保存される。 Javascript は受け取り先のコンピュータで受信した実行型ファイルを実行する ために用いられる。 16. Byte Fusion BFTelnet Long Username DoS Vulnerability BugTraq ID: 771 リモートからの再現性: あり 公表日: 1999-11-03 関係したURL: http://www.securityfocus.com/bid/771 まとめ: Byte Fusion 製の Windows NT 用の telnet サーバ、BFTelnet にはユーザ名が 3090 文字を越えていた場合クラッシュしてしまう弱点がある。 17. FTGate Directory Traversal Vulnerability BugTraq ID: 772 リモートからの再現性: あり 公表日: 1999-11-04 関係したURL: http://www.securityfocus.com/bid/772 まとめ: 特定のバージョンの FTGate Advanced Mail Server の Web を利用した管理用 インタフェースには弱点がある。この弱点は Web サーバが Web 文書の公開ディ レクトリの外のディレクトリ構造をユーザが参照できてしまうというものであ る。従って、悪意あるユーザは限定された領域外のファイル、例えば自分に与 えられていない権限の電子メールやパスワードファイルなどを読み出せてしま う。 18. Etype Eserv Directory Traversal Vulnerability BugTraq ID: 773 リモートからの再現性: あり 公表日: 1999-11-04 関係したURL: http://www.securityfocus.com/bid/773 まとめ: Etype 社の Eserv は 1 つのパッケージでメールサーバ、Web サーバ、ftp サーバ、proxyサーバをインターネット接続するために設計された製品である。 しかし、この製品の中にある Web サーバは URL 中に ../ という相対文字列 を含んだ指定を使うことでファイルシステム中すべてをリモートから参照でき てしまうのだ。従って、攻撃者はサーバのファイルシステム上にあり、Web サーバがアクセス可能なファイルのすべてのファイルを読み出し可能である。 19. Sendmail Socket Hijack Vulnerability BugTraq ID: 774 リモートからの再現性: なし 公表日: 1999-11-05 関係したURL: http://www.securityfocus.com/bid/774 まとめ: リスクとしては低い弱点、とみなされる弱点が sendmail への攻撃の組合わせ で発見された。悪意あるローカルユーザが通常ポート番号 25 番を待ち受けし ているソケットのためのファイルディスクリプタを意図的なプログラムで上書 き、あるいは乗っ取り可能なのである。 この問題は accept() に失敗した際の sendmail の振る舞いに由来する。 accept() は待ち受け状態にある tcp ソケットによって tcp syn パケットが 受け取られた際に呼び出しが発生するが、3 way ハンドシェイクが完全に終了 していない場合、(例えば「ステルススキャン」の様なハーフオープン状態の tcp 接続は考えられる) accept() の呼び出しは失敗する。そして sendmail はすべての待ち受け状態のソケットを閉じ、5秒間待機する。 第二の問題はユーザが sendmail をセキュアではない引数が与えられた場合、 (-bD) デーモン状態で起動できてしまう点である。 この -bD フラグは sendmail にデーモンとしてフォアグラウンドで起動する 様に指示を与える。このオプションを与えるユーザ権限はチェックされていな いためいかなるユーザであっても sendmail を起動できるのである。 第三の問題はハングアップシグナル (-HUP) への sendmail への対応である。 ハングアップシグナルを受け付けた際、 sendmail は再起動するために execve(argv[0],..) を呼び出す。問題は明らかであり、argv[0] がどのよう な形態にでも変更可能なのである。この問題より大きな問題は第 4 番目のファ イルディスクリプタがすべて終了する前に閉じられない点である。 (tcp ソケットを待ち受けている状態では) そこで、いかなる execve() 経由で実行された argv[0] がディスクリプタを 引き継いでしまえるのだ。 以上の指摘を利用した攻撃は以下の様な例が考えられる。 - - 他のマシンから、例えば nmap を用い"ハーフオープンスキャン" をターゲッ トとなるコンピュータの 25 番ポートへ仕掛ける。 (sendmail は 5 秒間の待機状態に入り、25 番ポートは解放される) - - 5 秒間の sendmail の待機状態内に sendmail を -bD オプションを付け、 ローカルのユーザがターゲットとなるコンピュータ上で起動する。 この場合、noexec と共に起動し、argv[0] を希望するプログラムに設定する。 (noexec は argv[0] を自在に設定可能なプログラムである) - - 準備ができたなら、noexec と共に一般ユーザから起動した sendmail のプロ セスへハングアップシグナルを送る。 (noexec コマンドでargv[0]によって指定されたプログラムは 25 番ポート で待ち受けるためのファイルディスクリプタを取得してしまう) この現象から想定できる事はメールサーバの完全な詐称である。 攻撃者は25 番ポートに応答し、正当な smtpコネクションに応答するトロイの 木馬型の メールサーバを作成できるのである。 20. Guestbook CGI Remote Command Execution Vulnerability BugTraq ID: 776 リモートからの再現性: あり 公表日: 1999-11-05 関係したURL: http://www.securityfocus.com/bid/776 まとめ: Web 上のコンテンツの一つ、「ゲストブック」が HTML の記事の投稿を許可し、 サーバサイドインクルード (Serve-side Include; SSI)を HTML 文書についても 許可している場合、攻撃者はゲストブックに投稿した記事へ SSI コードを埋め 込み投稿することが可能である。SSI はリモートからのコマンドの実行を許可し、 Web サーバが読み出せるどのようなファイルの引用を可能にしてしまう。 (以下の例を参照されたい) Apache は guestbook.pl 中の正規表現を回避できる SSI の異なる文法形式を 希望するコマンドをターゲットとしたコンピュータ上で実行するために受け付 ける。(ページの管理者が必要だと認めた場合にのみ) 21. Artisoft XtraMail Multiple DoS Vulnerabilities BugTraq ID: 791 リモートからの再現性: あり 公表日: 1999-11-09 関係したURL: http://www.securityfocus.com/bid/791 まとめ: XtraMail 1.11 にはオーバーフローを起こした際サーバをクラッシュさせてし まい、使用不能攻撃を引き起こす未チェックのバッファが存在する。 1: POP3 サーバの PASS コマンドへの引数 1,500を越える文字数でオーバーフローを起こす。 2: SMTP サーバの HELO コマンドへの引数 10,000を越える文字数でオーバーフローを起こす。 3: Control service Username XtraMail はログイン用に 3200 番ポートを使うリモートからの管理ユーティリ ティを提供している。このユーティリティのユーザ名バッファは10,000を越え る文字数でオーバーフローを起こす。 22. BigIP Config UI Vulnerabilities BugTraq ID: 778 リモートからの再現性: なし 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/778 まとめ: BigIP は F5 ソフトウェアが提供する負荷分散システムである。 このシステムには Web を利用した設定システムがあり、標準的な CGI への攻 撃に対して弱点がある。Guy Cohen の報告によると、 インストールされた BSDI システム環境上で意図したファイルを参照可能であっ た。また、設定プログラムは setuid root でインストールされており、これ は設定機能を呼び出すための .htaccess による認証によるローカルに由来する 弱点がある。これ以上のこの弱点に関する情報はない。 23. Microsoft IE for Win98 file:// Buffer Overflow Vulnerability BugTraq ID: 779 リモートからの再現性: あり 公表日: 1999-11-09 関係したURL: http://www.securityfocus.com/bid/779 まとめ: Windows 98 上の Internet Explorer 4 及び 5 は非常に長い file:// で始ま る URL によってバッファオーバーフローを引き起こす。 URL 内のデータは EIP へ渡されるため、意図したコードがもしも指定された 長い URL に含まれていた場合には実行されてしまう。 24. Seyon Relative Path Vulnerability BugTraq ID: 780 リモートからの再現性: なし 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/780 まとめ: seyon は相対パス名を必要とする 2 つの他のプログラムへ処理を引き渡すた めに用いている。従って、sayon が動作している権限を取得可能な弱点を攻 撃される可能性がある。デフォールトで、FreeBSD では setuid dialer でイ ンストールされ、IRIX では root 権限でインストールされる。 25. IrfanView32 Image File Buffer Overflow Vulnerability BugTraq ID: 781 リモートからの再現性: あり 公表日: 1999-11-09 関係したURL: http://www.securityfocus.com/bid/781 まとめ: フリーの画像ビュワーである IrfanView32 には Adobe Photoshop が作成した JPEG 形式のファイルの取り扱いに問題がある。もしもプログラムが開こうとし た JPEG ファイルのヘッダ (8BPS)に Adobe Photoshop marker として長い文字 列を後に含んでいる場合プログラムは止まってしまう。 文字列の中へコードを仕込ませることは可能である。 26. Linux nfsd Remote Buffer Overflow Vulnerability BugTraq ID: 782 リモートからの再現性: あり 公表日: 1999-11-09 関係したURL: http://www.securityfocus.com/bid/782 まとめ: Debian Linux 2.1 および RedHat Linux 5.2 に含まれる Linux nfsd にはリモー トから攻撃可能なバッファオーバーフローが存在する。 しかしこれらのバージョンやディストリビューションに存在する問題を修正した 事について、一切ベンダからの情報は公開されていない。 弱点はマウントされた NFS 共有で長いディレクトリパスを削除する際に生じる。 削除されるディレクトリ名を格納する文字列の長さは未チェックであり、利用し ているバッファはオーバーフロー可能であり、NFS サーバ上で悪意あるコード の実行を root として許可してしまう。推定される結果はリモートからの root の奪取である。 27. TransSoft Broker User Name Buffer Overflow Vulnerability BugTraq ID: 783 リモートからの再現性: あり 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/783 まとめ: Broker FTP サーバへ 2730 個以上の文字列数を持つユーザ名が渡された場合、 プログラムは停止する。もしサービスとしてプログラムが起動している場合、 サービスは使用可能な全てのメモリを使い果たし、システム全体を停止させて しまう。 28. Windows 95/98 UNC Buffer Overflow Vulnerability BugTraq ID: 792 リモートからの再現性: あり 公表日: 1999-11-02 to 1999-11-14 関係したURL: http://www.securityfocus.com/bid/792 まとめ: Windows 95/98 (すべてのバージョン) のネットワークコードにはオーバーフ ロー可能なバッファがある。バッファはファイル名を取り扱うコードの一部で、 非常に長いファイル名を指定することで攻撃者はコンピュータを停止させられ たり意図的なコードを実行可能になる。この弱点は file:// で始まる URL や UNC 表記の Web ページ、あるいは HTML メールからリモートから攻撃可能 である。この攻撃は pagfe が読み込まれた際にブラウザ中で起こり、電子メー ルが開いたメールがプレビューペインに含まれた形で開かれた際に生じる。 29. RedHat Linux csh/tcsh Vulnerability BugTraq ID: 785 リモートからの再現性: なし 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/785 まとめ: csh/tcsh を使い、意図的なコマンドをローカルのユーザがログインした状態 で実行可能である。問題はユーザがログインする際に呼ばれる初期化スクリ プトとすでに弱点がある /tmp においてファイルの競合状態を引き起こす条 件が揃った場合に生じる。 30. Immunix StackGuard Evasion Vulnerability BugTraq ID: 786 リモートからの再現性: あり 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/786 まとめ: 以下に示すのは Immunix が発表したアドバイザリからの引用である。 Mariusz Woloszyn により、特定のセキュリティ上の弱点が 特定の環境において示された。これは限定された攻撃者が StackGuard で保 護されたプログラムを侵し、攻撃が成功できてしまうという弱点です。 Woloszyn は この弱点についての資料を書いていますが、これはこの項でまと めた内容です。Immunix チームは心から Mariusz 氏へこの弱点について最初 に報告して頂いたことについて感謝し、また、対策方法の開発と配布のため の時間を下さったことについても感謝します。 以下のコードを読んでみましょう。 foo(char * arg) { char * p = arg; // 弱点があるポインタ char a[25]; // ポインタを弱体化するバッファ gets(a); // gets() の利用は弱点の原因である gets(p); // これはよい例である } このコードを使って攻撃している途中、攻撃者は最初に buffer a[] を char * p ポインタ の値を最終的に持って行きたい値でオーバーフローさせ ます。特定の場合においてですが、攻撃者は p ポインタをメモリ内のどこ に対してもポイントさせられるとします。しかし、とりわけ、活動レコード内 のリターンアドレスレコードへポイントするとします。 プログラムが入力を得、 p ポインタへ格納する際、入力データは攻撃者が指 し示した所に格納されてしまうのです。 以上に示した攻撃はランダムな、そして終端カナリーを利用したメカニズムに 対しても有効です。なぜならこの保護方法は攻撃はリニアである、と仮定して いるからです。言い換えるならば、攻撃者はスタック上の自動的なバッファを 溢れさせるための文字列操作に必須のリターンアドレスをおかしくするために 探し回り、カナリーワードを越えて動き回り、リターンアドレスエントリーだ けを得るのです。以上に示した攻撃の例では、しかし、攻撃者はポインタを意 図的な場所へ移動させる事を許可されています。また、リターンアドレスへの ポイントを直接行っており、カナリーによる保護を回避できるのです。 31. InterScan VirusWall Long HELO Buffer Overflow Vulnerability BugTraq ID: 787 リモートからの再現性: あり 公表日: 1999-11-07 関係したURL: http://www.securityfocus.com/bid/787 まとめ: VirusWall 製品に含まれる SMTP ゲートウェイの HELO コマンドにはバッファ オーバーフローがある。このバッファオーバーフローは弱点があるサーバの意 図的なコードに処理を移すのに用いられる。 32. Multiple BIND Vulnerabilities BugTraq ID: 788 リモートからの再現性: あり 公表日: 1999-11-10 関係したURL: http://www.securityfocus.com/bid/788 まとめ: 8.2.2 以前の BIND のパッケージには幾つかの弱点がある。 第一は NXT レコードの不完全な検証の結果、バッファオーバーフロー状態が 生じるという問題である。この結果からリモートから root 権限が取得できて しまえる可能性が考えられる。 (BIND はデフォルトで root として動作していると仮定している) 第二には SIG レコードを正しく検証できなかった場合、使用不能攻撃が発生 する、という問題である。 第三には攻撃者が BIND に管理できるよりも多くのファイルディスクリプタを 使い果たさせてしまい、結果として停止させてしまうという問題である。 第四はディスク上のファイルからゾーン情報が読み込まれ検証を行う際に、特 定のパーミッションが与えられた場合にローカル環境で使用不能攻撃が可能に なってしまうという問題である。 最後は TCP ソケットをクローズする際の弱点である。もし特に明示がなければ、 120 秒間待ち状態に入ってしまうのだ。 33. IMail POP3 Buffer Overflow Denial of Service Vulnerability BugTraq ID: 789 リモートからの再現性: あり 公表日: 1999-11-08 関係したURL: http://www.securityfocus.com/bid/789 まとめ: ユーザ名が 200 から 500 文字の間にある時、ユーザ名フィールドにバッファ オーバーフローが生じてしまう。また、弱点があるサーバで意図的なコードが 実行可能であり、現状の攻撃方法ではリモートにあるコンピュータへの使用不 能攻撃を引き起こせる。 34. NetCPlus SmartServer3 POP Buffer Overflow Vulnerability BugTraq ID: 790 リモートからの再現性: あり 公表日: 1999-11-11 関係したURL: http://www.securityfocus.com/bid/790 まとめ: NetcPlus SmartServer3 email サーバに含まれる POP サーバには未チェックの バッファがあり、サーバ上で攻撃者がコードを実行可能である。もしも、 USER コマンドが 800 文字を越えて与えられた場合、入力バッファはオーバー フローし、引数から与えられるデータはシステムへ与えられ、SmartServ プロ グラムが実行している権限で実行できてしまう。 35. Microsoft ActiveX Error Message Vulnerability BugTraq ID: 793 リモートからの再現性: あり 公表日: 1999-11-02 to 1999-11-14 関係したURL: http://www.securityfocus.com/bid/793 まとめ: IE 5 に含まれる Windows Media Player ActiveX コントロールは存在しない ローカルのファイルを読み込む際、特定のエラーコードを返す。 この方法で攻撃者は犠牲者のコンピュータ内に特定のファイルが存在するか 否かを判断可能である。これはユーザ名と他のシステム設定要素を判断する のにも適用可能である。 36. MacOS9 NDS Client Inherited Login Vulnerability BugTraq ID: 794 リモートからの再現性: なし 公表日: 1999-11-02 to 1999-11-14 関係したURL: http://www.securityfocus.com/bid/794 まとめ: MacOS 9 に付属する NDS クライアントはユーザが NDS ツリーからのログア ウトに失敗してしまう。これはユーザが MacOS 9 からログアウトする場合に 生じる。次にログインするユーザは異なる NDS アクセス権限を詐称できてし まう。 Translated by SAKAI Yoriyuki / LAC http://www.lac.co.jp/ (続く) -----BEGIN PGP SIGNATURE----- Version: PGPfreeware 5.5.3i for non-commercial use iQA/AwUBODDK4pQwtHQKfXtrEQJssACeJmbk8Tf+eb2tejQB7VzQX7ngX0EAoJrq lEbotF/rkemg8FJ01IGMncr3 =dEgE -----END PGP SIGNATURE-----