SecurityFocus.com Newsletter #145 2002-5-13->2002-5-17
坂井@ラックです。
SecurityFocus.com Newsletter 第 145 号の和訳をお届けします。
訳のない項目については「日本語訳なし」として区別してあります。
---------------------------------------------------------------------------
SecurityFocus.com Newsletter に関するFAQ:
http://www.securityfocus.com/popups/forums/securityfocusnews/intro.shtml
BugTraq-JP に関する FAQ:
http://www.securityfocus.com/popups/forums/bugtraq-jp/faq.shtml
(SecurityFocus.com Newsletter の和訳は BugTraq-JP で一次配布されています)
---------------------------------------------------------------------------
引用に関する備考:
・この和訳は SecurityFocus.com の許可を株式会社ラックが得た上で行わ
れています。
・SecurityFocus.com Newsletter の和訳を Netnews, Mailinglist,
World Wide Web, 書籍, その他の記録媒体で引用される場合にはメールの
全文引用をお願いします。
・日本語版ニュースレター 1 号から 3 号までにはこの備考が付いていませ
んが準用するものとします。
・また、SecurityFocus.com 提供の BugTraq-JP アーカイブ [*1] へのいか
なる形式のハイパーリンクも上記に準じてください。
1) http://online.securityfocus.com/archive/79
---------------------------------------------------------------------------
---------------------------------------------------------------------------
この和訳に関する備考:
・この和訳の適用成果について株式会社ラックは責任を負わないものとしま
す。
---------------------------------------------------------------------------
---------------------------------------------------------------------------
訳者からのお知らせ:
・もし、typo や誤訳が見つかった場合、BugTraq-JP へ Errata として修正
版をご投稿頂くか、監修者 (sakai@lac.co.jp) にお知らせください。
後者の場合には修正版をできるだけ迅速に発行します。
---------------------------------------------------------------------------
---------------------------------------------------------------------------
原版:
Date: Mon, 20 May 2002 14:58:16 -0600 (MDT)
Message-ID: <Pine.LNX.4.43.0205201450490.13679-100000@mail.securityfocus.com>
SecurityFocus Newsletter #145
------------------------------
This issue sponsored by CipherTrust.
I. FRONT AND CENTER
1. Bad Company
2. Port Sentry For Attack Detection, Part One
3. Memo to Microsoft: Stay Secretive, Please
4. Securing Privacy Part Three: E-mail Issues
5. Slot Machine Justice for Melissa Author
6. Cutting-Edge High Tech Crime Fighting: Best Practices in Computer Forensics
7. Meeting IT Security Benchmarks Through IT Audits
II. BUGTRAQ SUMMARY
1. nCipher MSCAPI CSP Install Wizard 5.50 Incorrect Key Generation Vuln
2. Phorum Reply Email Address Script Injection Vulnerability
3. id Software Quake II Server Remote Information Disclosure Vuln
4. Opera Frame Location Same Origin Policy Circumvention Vuln
5. SonicWall SOHO3 Content Blocking Script Injection Vuln
6. SunATM Agent SNMP Request Handling Vulnerability
7. Bannermatic World Readable Data Files Information Disclosure Vuln
8. NOCC Webmail Script Injection Vulnerability
9. GNU SharUtils UUDecode Symbolic Link Attack Vulnerability
10. SuSE AAA_Base_Clean_Core Script RM Race Condition Vulnerability
11. Hosting Controller DSNManager Directory Traversal Vulnerability
12. tinyproxy HTTP Proxy Memory Corruption Vulnerability
13. Cisco Content Service Switch HTTPS Post Denial Of Service Vuln
14. SuSE Shadow File Truncation Vulnerability
15. CGIScript.net Information Disclosure Vulnerability
16. LevCGI NetPad Unauthorized File Access Vulnerability
17. Swatch Throttled Event Reporting Vulnerability
18. Hosting Controller Import Root Directory Command Execution Vuln
19. Xerox DocuTech Printer Weak Default Configuration Vulnerability
20. Microsoft Internet Explorer Zone Spoofing Vulnerability
21. Microsoft Internet Explorer Cookie Content Disclosure Vuln
22. Phorum Remote Command Execution Vulnerability
23. Xerox DocuTech Scanner Insecure Default Configuration Vuln
24. Cisco IDS Device Manager Arbitrary File Read Access Vulnerability
26. Gaim Sensitive World Readable Temporary File Vulnerability
27. NetWin DNews Remote Access Vulnerability
28. Cisco Content Service Switch XML Denial Of Service Vulnerability
29. Cisco Cache Engine Default Configuration Arbitrary User Proxy Vuln
30. Microsoft Internet Explorer Content-Disposition Handling...
31. kv Poll Cookie Security Bypass Vulnerability
III. SECURITYFOCUS NEWS ARTICLES
1. 'Deceptive Duo' Hacker Under House Arrest
2. O'Reilly Leaks Geeks' Info
IV.SECURITYFOCUS TOP 6 TOOLS
1. mail2sh v1.0
2. GrabItAll
3. Saint Jude v0.10 (Solaris)
4. Enigmail v0.2
5. WatchMan v0.20
6. Distributed Checksum Clearinghouse v1.1.0
I. FRONT AND CENTER(日本語訳なし)
---------------------------------
II. BUGTRAQ SUMMARY
-------------------
1. nCipher MSCAPI CSP Install Wizard 5.50 Incorrect Key Generation VulnerabilityBugTraq ID: 4729
リモートからの再現性: なし
公表日: May 13 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4729
まとめ:
nCipher シリーズの製品はハードウェアとソフトウェアにまたがるセキュリティ
製品である。Windows 2000 上で動作する MSCAPI CSP key generator 用のイン
ストールウィザード、バージョン 5.50 において問題が発見されている。
nCipher key management シリーズの製品は2つの要件に基づいて提供された、
アプリケーションキーの利用が可能である。キーはユーザの Administrator
Card によって適切にプログラミングされた、どの ncipher モジュールによっ
ても提供可能であり、あるいは、さらに付け加えられた Operator card によっ
ても保護可能であるというのが要件である。
しかし、特定の状況下において、Operator card によって保護されるべきであ
るキーが、実際には ncipher モジュールによってのみ保護されるように生成さ
れてしまうのである。この結果、想定よりもセキュリティが低いレベルとなる
可能性があり、特定の条件下において、この製品のセキュリティモデルの機能
の損失や破壊を招く可能性がある。
これはインストール時の処理に由来して生じる問題である。生成されたキーが
モジュールによって保護される場合、あるいは、付け加えられた Operator Card
Set によって保護される場合にユーザはインストールオプションを選択する可
能性がある。
cardset による保護が選択され、新しい Operator Card Set が引き続いてユー
ザによって作成されていない場合、デフォルトのキー生成はモジュールによる
保護を行うように設定される可能性がある。
nCipher Support <support@nCipher.com> は指定されたインストール方法が問
題となるかどうかを判断するための詳細情報を提供している。同社は、コマン
ドラインから c:\nfast\bin\csputils.exe -d を実行し、意図されない保護レ
ベルが設定されているかどうかを判断するためのキーデータを確認する手順を
推奨している。
Operator Card Set による保護が行われている場合のキー例:
Detailed report for container ID #cbfb7b11909b40ddc50da759d6029...
Filename: key_mscapi_container-cbfb7b11909b40ddc50da759d6...
Container name: expimptst
User name: NCIPHER\james
User SID: s-1-5-21-1594850079-719136693-34565100-1111
CSP DLL name: ncsp.dll
No signature key.
Filename for key exchange key is key_mscapi_expimptst-ncsp-ujam...
Key was generated by the CSP
Key hash: 92c60edf376c26e9ee76db3a2a70dd031636a218
Key is recoverable.
Key is cardset protected.
Cardset name: mscapi-grimsby
Sharing parameters: 1 of 1 shares required.
Cardset hash: 4eb80f966c13bd735cb50f29ef19e5e...
Cardset is persistent.
For a key with module protection:
Filename: key_mscapi_container-32a16394a3ffe52eb4db1127d8...
Container name: james
User name: NCIPHER\james
User SID: s-1-5-21-1594850079-719136693-34565100-1111
CSP DLL name: ncsp.dll
No signature key.
Filename for key exchange key is key_mscapi_6fa4c59efefb6c01db6...
Key was generated by the CSP
Key hash: 6fa4c59efefb6c01db6eca9f1eadbb17158fc2a8
Key is recoverable.
Key is module protected.
2. Phorum Reply Email Address Script Injection Vulnerability
BugTraq ID: 4739
リモートからの再現性: あり
公表日: May 13 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4739
まとめ:
Phorum は PHP 言語を利用して開発された電子掲示板機能を提供するソフトウェ
アパッケージである。
このソフトウェアにはスクリプトを注入可能な問題が報告されている。報告に
よると、メッセージへの応答の本文へスクリプトが注入可能である。また、こ
れはメッセージへの返答の形態を取り、その一部として含まれるように悪意を
もつ電子メールアドレスを組み立てることにより実行されると推察される。
注入されたスクリプトは投稿内容を参照するいかなるユーザの Web クライアン
トないで、このソフトウェアを利用して提供される Web サイトと同格のセキュ
リティコンテキストで実行される可能性がある。
攻撃者は潜在的に、この問題を Web サイト内のコンテンツの乗っ取り、あるい
はクッキーを利用する認証用情報の盗み出しを企てるために攻撃に利用すると
推察される。また、攻撃対象のユーザとして、Web コンテンツの投稿や削除を
含む、任意の行為を行うことが可能になるとも推察される。
3. id Software Quake II Server Remote Information Disclosure Vulnerability
BugTraq ID: 4744
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4744
まとめ:
Quake II は複数のプレイヤーがゲームに参加可能なゲームソフトウェアであり、
id Software によって提供されている。このソフトウェアのソースコードは既
に公開済みであり、Windows 版と Linux 版が利用可能である。
Quake II ではコマンドに対し、環境変数の値を展開させて指定することが可能
である。例えば、$rcon_passwd 変数へは自動的にシステム用のパスワードが展
開されて代入される。通常のゲーム中には、これら変数はサーバに転送される前
にクライアント側で展開される。
しかし、報告によると、改ざんされるか、意図をもって組み立てられたクライ
アントは、これらクライアント内での値の展開を阻止する可能性がある。以後、
サーバがコマンドを処理する歳、サーバのローカル環境内で変数が展開される
ことになる。この結果、サーバのパスワードを含む、数多くのシステム内の設
定用の値がリモートの攻撃者へ開示される可能性がある。
攻撃者はこの問題を利用する攻撃を、問題を抱えるサーバの管理者用権限を奪
取するために利用する可能性がある。
4. Opera Frame Location Same Origin Policy Circumvention Vulnerability
BugTraq ID: 4745
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4745
まとめ:
Opera は Opera Software により開発された Web ブラウザ製品であり、Windows
と Linux を含む、様々な OS において利用可能である。Opera Browser のいく
つかのバージョンにおいて、問題が発見された。
新世代の Web ブラウザにおいては、ある Web サイトのコンテキストで実行さ
れるスクリプトは、他のコンテキストの範囲の資源へアクセス可能になってい
るべきではないと考えられている。これは same origin policy (同一の起原を
持つポリシ) として知られるセキュリティ機能であり、悪意ある Web サイトか
らの、同サイトのコンテキストでの相互処理を阻止し、潜在的に想定される、
異なる Web ブラウザのウインドウ内の他サイトから重要な情報の盗み出しを阻
止するために、ブラウザ内に備えられるものである。
しかし、いくつかのバージョンの Opera ではこのポリシを迂回することが可能
なのである。あるページのコンテキストで実行される JavaScript が、そのペー
ジ内の IFRAME あるいは FRAME タグの location パラメータを改ざん可能なの
である。 javascript: URL を location パラメータとして指定することにより、
フレーム内部へコードが注入されることが推察される。
この問題を利用する攻撃により、任意の JavaScript が任意のコンテキストで
実行される結果が引き起こされる。この問題の結果はいくつかが想定でき、認
証用情報を含む、クッキー内の情報へのアクセスや、認証済みのユーザの権限
での動作の乗っ取りが想定され得る。
既に、ローカルシステム内のいくつかの資源へのアクセスを行うスクリプトの
実行が可能であることが実例として示されている。公開された、この問題を利
用する攻撃の概念の実証例は、ローカルのファイルシステムの構成に関する情
報へのアクセス事例を示している。
5. SonicWall SOHO3 Content Blocking Script Injection Vulnerability
BugTraq ID: 4755
リモートからの再現性: なし
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4755
まとめ:
SonicWall SOHO3 はファイヤウォールを利用するセキュリティ対策を提供する、
インターネット向けのセキュリティ機器である。
報告によると、この製品には内部 LAN 内の悪意あるユーザによってスクリプト
を注入する攻撃を企てることが可能な問題が存在する。Sonicwall SOHO3 のファー
ムウェアリビジョン 6.3.0.0 および ROM バージョン 5.0.1.0 において、この
問題の存在が寄せられている。
Sonicwall では、ユーザが入力したドメイン一覧に従って、ドメイン単位のア
クセスを防止するような設定が可能である。この際、Sonicwall はローカルユー
ザのブロックされたドメインの Web サイトへのアクセスを禁止する。しかし、
悪意あるユーザはブロック対象のドメインを含む URL の一部として、スクリプ
トを注入可能なのである。ブロック対象のドメインへのアクセスを試みは、Sonicwall
のログファイル内へ記録される。管理者がログファイルを参照する際、悪意ある
スクリプトは自動的に実行される結果となる。
Sonicwall は禁止されたドメイン名へのアクセスの試みをログへ採取する。
このため禁止されたドメインを含む URL 内に注入されたスクリプトは、自動的
にログファイルが参照される際に実行される。報告によると、いかなる種類の
スクリプトも実行可能である。この問題により、悪意あるユーザによる DoS 攻
撃を招く可能性がある。
攻撃者はこの機器内のブロック済み一覧に既に含まれているドメインを知って
おく必要がある点は留意されるべきである。
攻撃者によるスクリプトがログファイルに注入された後、管理者はログへの正
常なアクセスは不能になる。ログ内容に再度アクセスするためには、機器の再
起動が必要である。機器の再起動により、ログは抹消され、ユーザによる攻撃
の企てを記したログ内の、いかなる証左が完全に消去されることになる。
6. SunATM Agent SNMP Request Handling Vulnerability
BugTraq ID: 4732
リモートからの再現性: あり
公表日: May 13 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4732
まとめ:
SunATM ソフトウェアパッケージは、ATM UNI と LAN Emulation MIB をサポー
トする SNMP エージェントである。このエージェントは、例えば SunNet Manager
などの、ネットワーク管理用システムに組み合わされて利用される可能性があ
る。
SunATM SNMP エージェントは SNMP リクエストの取り扱いに関連する問題を抱
える疑いがある。悪意をもって組み立てられた SNMP v1 リクエスト PDU を転
送することにより、このソフトウェアのクラッシュを引き起こすことが可能な
のである。実際に PDU がどのように悪意をもって組み立てられているかについ
ては、現在の所、未詳である。
ここで引き起こされるクラッシュはバッファオーバーフローが生じているため
に引き起こされると推察される。もし、これに合致している場合、攻撃者は任
意のコードを実行するための、この問題を利用する攻撃を行うことが可能にな
ると考えられる。
7. Bannermatic World Readable Data Files Information Disclosure Vulnerability
BugTraq ID: 4738
リモートからの再現性: あり
公表日: May 14 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4738
まとめ:
Bannermatic は GetCruising 社の Joe DePasquale により保守されているバナー
広告交換システムである。
報告によると、全て非常に重要な情報を格納しているファイルである、ban.log、
ban.bak、ban.dat、banmat.pwd はいかなるユーザであっても読み出し可能な状
態のパーミッションが設定されている。このため、いずれかのファイル内に含
まれる情報は、これらファイルへ HTTP リクエストを行うことによりアクセス
を行うことが可能なのである。
ban.log には日時、IP アドレスなどを含む、アクセスを行ったユーザ情報が格
納されている。ban.bak には交換されたバナー広告に関連する URL が格納され、
ban.dat にはユーザがクリックを行った回数、ページビューなどの画像そのも
のに関する情報が格納されている。banmat.pwd には管理者用パスワードのハッ
シュが格納されている。
上記のいずれかのファイルに含まれる情報を入手することは、攻撃者の対象へ
のさらなる攻撃の補助手段となり得ると考えられる。
8. NOCC Webmail Script Injection Vulnerability
BugTraq ID: 4740
リモートからの再現性: あり
公表日: May 14 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4740
まとめ:
NOCC は php4 を利用して開発された、Web インタフェースを備える電子メール
クライアントである。このソフトウェアは POP3、SMTP、IMAP サーバをサポー
トし、また、MIME 形式の添付ファイルや複数の言語をサポートしている。
NOCC はテキストのみの電子メールであったとしても、HTML として取り扱い、
全ての電子メールを表示する。この際、NOCC は電子メール内に含まれる、潜在
的に問題をもたらす可能性があるデータの影響を回避するための試みを何ら行っ
ていない。この結果、悪意あるユーザはスクリプトを含む電子メールを組み立て、
NOCC webmail のどのようなユーザに対してでも送信を行うことが可能になると
推察される。この種の電子メールが Web ブラウザを介して参照される際、埋め
込まれたスクリプトは実行される。
電子メールに埋め込まれたスクリプトはサーバによって設定されるクッキーを
含む、webmail のセッション用のいかなる情報の改ざんや奪取を可能にすると
推察される。この問題を利用する攻撃により、攻撃対象の電子メールの受信内
容へのアクセス権限をユーザの意に反して奪取する結果を招く可能性がある。
9. GNU SharUtils UUDecode Symbolic Link Attack Vulnerability
BugTraq ID: 4742
リモートからの再現性: なし
公表日: May 14 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4742
まとめ:
Sharutils は GNU によって保守されているフリーで利用可能な、オープンソー
スのツール群である。このソフトウェアは UNIX や Linux で動作するように設
計されている。
sharutils が抱える問題により、シンボリックリンクを利用する攻撃が可能に
なる可能性がある。この問題は uudecode プログラムに由来している。
uuencode 済みのファイルを復号化する前に、uudecode は復号化済みのアーカ
イブから生成されたファイルの存在についての確認を行っていない。このため、
uudecode のユーザが内部のファイルへ書き込み権限を持つように設定されてい
る、一時作業用ディレクトリ内の他のファイルを復号化されたファイルが上書
きする可能性がある。
この問題は uudecode がファイルがシンボリックリンクであるかどうかを確認
していないために、さらに影響範囲を広げる。一時ファイルがシンボリックリ
ンクである場合、シンボリックリンクで指し示された先のファイルは上書きさ
れてしまうのである。この結果、データの破壊や損失を引き起こされることに
なる。
この問題により、シンボリックリンクを利用する攻撃を企てることが可能にな
り、潜在的にはファイルの上書きが可能である。また、より高位の権限に昇格
することも可能である。
10. SuSE AAA_Base_Clean_Core Script RM Race Condition Vulnerability
BugTraq ID: 4758
リモートからの再現性: なし
公表日: May 16 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4758
まとめ:
SuSE Linux はフリーで公開され、オープンソースの OS である。この OS は
SuSE によって保守されている。
この OS には DoS に陥らせることが可能な問題が存在する。この問題は一時作
業用ディレクトリの生成方法に由来している。
毎日1度は実行されるスクリプトである aaa_base_clean_core から呼び出され
る再帰的な rm コマンドの実行対象となり得るような、非常に深い階層のディ
レクトリを作成することが可能である。この種のディレクトリ階層をスクリプ
トが末梢方向へ辿る間、ユーザはディレクトリ階層内のより / に近い側に位置
する、スクリプトが現在作業中のディレクトリを削除可能であり、このために
rm コマンドが意図するディレクトリよりも上位ディレクトリ側に対する削除処
理を行い、/ ディレクトリを含む、OS が含まれるディレクトリの削除を引き起
こすことが可能である。
この問題により、ローカルユーザはこの OS の正当なユーザへのサービスを DoS
に陥らせることが可能である。この問題は BID 4266 に示されている問題に由
来しており、本問題の場合は aaa_base_clean_core スクリプトの一時作業用ディ
レクトリがセキュアではない方法での生成に由来している。
11. Hosting Controller DSNManager Directory Traversal Vulnerability
BugTraq ID: 4759
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4759
まとめ:
Hosting Controller は単一のインタフェースで、ホスト内の作業の集中管理を
行うためのアプリケーションである。Hosting Controller は Microsoft Windows
上で動作する。
Hosting Controller には DSNManager スクリプトが同梱され、バックエンドデー
タベースの DSN (Data Source Number) 情報の表示と管理を可能にしている。
DSNManager は URL 内のパラメータにおいて、2つのピリオドとスラッシュから
なる文字列 (../) に関する十分なフィルタリングを行っていないため、ディレ
クトリの制限範囲を迂回して資源にアクセス可能になる攻撃の影響が及ぶ疑い
がある。Web 用の公開文書用のディレクトリ以外へのアクセス範囲を逸脱可能
なHTTP リクエストを与えることで、攻撃者はファイルシステム全体を参照可能
である。攻撃者は Web サーバの権限によって読み出し可能なファイルの内容を
開示させ、あるいは、潜在的に任意のディレクトリに DSN (Data Source Number)
の追加を行うためにこの問題を利用可能である。
12. tinyproxy HTTP Proxy Memory Corruption Vulnerability
BugTraq ID: 4731
リモートからの再現性: あり
公表日: May 13 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4731
まとめ:
tinyproxy HTTP Proxy は小規模のプログラムで構成される HTTP プロキシであ
る。
TinyProxy には何種類かの不正なプロキシへの HTTP リクエストの取り扱い時
において、問題が発見されている。いくつかの状況下において、不正な HTTP
リクエストは割り当て済みのメモリを 2 回解放させる結果を招く可能性がある。
メモリ内の任意のワードは、2 回目に free() 関数が呼び出される際に、意図
的に組み立てられた値で上書きされるように、攻撃者はメモリ内のデータの配
置を操作可能であると推察される。関数のリターンアドレスや GOT エントリ等
の決定的な値が上書きされる場合、任意のコードが実行される可能性がある。
13. Cisco Content Service Switch HTTPS Post Denial Of Service Vulnerability
BugTraq ID: 4747
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4747
まとめ:
Cisco Content Service (CSS) スイッチは第 5 層と第 7 層を取り扱えるスイッ
チであり、Web サーバや Web キャッシュのフロントエンドとなる機能を提供し
ている。これらスイッチでは WebNS ソフトウェアが稼動している。
いくつかの Cisco Content Service (CSS) へ HTTPS を介した POST リクエス
トを送信することで、この装置を再起動させることが可能である。攻撃者はこ
の状態に陥らせるためには認証を必要とはしない。
この問題により、リモートの攻撃者は問題を抱えるサービスで保証されている
所定の性能を打ち砕く影響を及ぼすことが可能であると推察される。
CSS 11000 シリーズのスイッチはこの問題の影響が及ぶことが知られている。
なお、問題が及ぶ範囲には CSS 11050、CSS 11150、CSS 11800、CSS 11500 ハー
ドウェアプラットフォームが含まれる。
14. SuSE Shadow File Truncation Vulnerability
BugTraq ID: 4757
リモートからの再現性: なし
公表日: May 16 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4757
まとめ:
SuSE Linux はフリーに公開され、オープンソースである Linux のディストリ
ビューションである。このディストリビューションは SuSE によって保守され
ている。shadow は /etc/passwd と /etc/shadow 内の項目を管理するための、
一連のユーティリティである。
SuSE Linux に同梱されている shadow パッケージには問題が発見されている。
報告によると、ローカルの攻撃者は自らが意図する値で /etc/passwd と /etc/shadow
内の値を上書き可能であり、また、潜在的には追加可能であると考えられる。
これは、これらファイルに対する処理を行う shadow ユーティリティを呼び出
す前に、ファイルサイズの作成限度値を攻撃者が設定するために生じる。
非常に狭い範囲で影響を考えた場合であったとしても、ローカルユーザは重要
なファイルを破壊可能である。この場合には OS が DoS 状態に陥る結果となる
可能性がある。いくつかの状況下において、この問題を利用する攻撃が成功し
た場合、ローカルの攻撃者は権限昇格が可能になると推察され、潜在的には root
権限ですら奪取され得ると推察される。SuSE は SuSE Linux のデフォルト設定
においてはローカルの攻撃者による root 権限の奪取は不可能であると表明し
ている。
15. CGIScript.net Information Disclosure Vulnerability
BugTraq ID: 4764
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4764
まとめ:
CGIScript.net は webmaster 用の様々な管理機能を提供するツールであり、
Mike Barone および Andy Angrick によって保守されている。
CGIScript.net において提供されている数多くのスクリプトによって、重要な
システム情報を開示させてしまうことが可能である。
意図的に組み立てられた POST リクエストにより、攻撃対象のコンピュータは
エラーページ内にデバッグ情報を出力する。この結果、サーバ内のパス情報、
フォームでの入力値、環境変数をリモートユーザに開示させることが可能であ
る。
他の種類の意図的に組み立てられた HTTP リクエストもこの状態を招くことが
可能であると推察される。
以下はこの問題の原因との疑いがある CGI スクリプトの一覧である。
csBanner.cgi
csCreatePro.cgi
CSDownload.cgi
csFAQ.cgi
CSFiler.cgi
CSFileshare.cgi
CSGrid.cgi
CSIncludes.cgi
CSMailto.cgi
CSNews.cgi
CSNews.cgi (pro version)
CSRandomText.cgi
CSUpload.cgi
パス、フォームでの入力値、環境変数は攻撃者による対象ホストへのさらなる
攻撃の補助手段となる可能性がある。
16. LevCGI NetPad Unauthorized File Access Vulnerability
BugTraq ID: 4741
リモートからの再現性: あり
公表日: May 14 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4741
まとめ:
LevCGI NetPad は Web インタフェースを利用するテキストエディタである。
このソフトウェアは Linux や様々な実装の UNIX で利用可能であり、また、
同様に Microsoft Windows においても動作する。
NetPad 形式の文書への書き込み処理はパスワードによって保護されている。
しかし、この形式の文書の内容への読み出しを行うためには、認証は求められ
ないのである。
このため、Web にアクセス可能なユーザであればどのユーザであったとしても
既存の文書へ HTTP リクエストを行い、内容を参照し、文書内の重要な情報を
開示させる結果を招く可能性がある。
17. Swatch Throttled Event Reporting Vulnerability
BugTraq ID: 4746
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4746
まとめ:
Swatch はフリーに利用可能な、オープンソースであるログ観察ユーティリティ
である。このソフトウェアは UNIX と Linux において利用可能である。
Swatch は状態報告処理を失敗する可能性がある。これはこのプログラムの設計
に由来している。
いくつかの状況下において、通報事項が Swatch によって報告されない可能性
がある。あるイベントがシステム上で大量に生じた場合、そして Swatch が複
数回の警告通知を防止するために、当該のイベントに throttle (連続的に処理
を実行しないための待ち時間) を設定している場合、後に続く同一の種類のイ
ベントを Swatch は十分に取り扱えなくなるのである。あるイベントが生じ、
このイベントに対する警告通知に throttle が設定されている場合、Swatch
内の throttle を取り扱うコードのバグにより、1ヶ月後に生じる当該イベント
への警告通知は阻害されてしまうのである。
この問題により、繰り返して生じ、また、攻撃対象のシステム上で既に throttle
が設定されている当該イベントに関する知識を持つ攻撃者は、当該イベントを
Swatch によって通告されることなく、再度引き起こすことが可能になる。
18. Hosting Controller Import Root Directory Command Execution Vulnerability
BugTraq ID: 4761
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4761
まとめ:
Hosting Controller は単一のインタフェースで、ホスト内の作業の集中管理を
行うためのアプリケーションである。Hosting Controller は Microsoft Windows
上で動作する。
Import Root Directory スクリプト (imp_rootdir.asp) にユーザがアクセスす
る際、認証のチャレンジが強制されない問題が存在する。このスクリプトによ
り、ユーザはコンピュータ内のファイルとディレクトリに対する処理を実行可
能であるが、これらに関する処理は、Hosting Controller 用の管理者用のルー
トディレクトリ配下のファイルやディレクトリについてのみが対象にすること
が可能な状態である。しかし、URL 内のパラメータを操作することで、コンピュー
タ内の任意のディレクトリへ (例えば C:) ルートディレクトリを変更すること
が可能なのである。
この問題により、リモートの攻撃者はこのソフトウェアを稼動させている OS
の任意のコマンドを実行可能であり、多くの場合、OS 全体に対するセキュリ
ティ上の脅威を招く可能性があると推察される。
19. Xerox DocuTech Printer Weak Default Configuration Vulnerability
BugTraq ID: 4765
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4765
まとめ:
DocuTech はプリンタとスキャナの複合機であり、Xerox によって販売、保守
が行われている。
この機器が抱える問題により、ユーザはシステム内の任意の資源へのアクセス
権を奪取可能である。この問題は機器のデフォルト設定に由来している。
DocuTech システムのプリンタ部は Solaris 8 を稼動させている Sun 製の機器
である。デフォルト状態で Solaris 8 は、様々なサービスを稼動させたままの
状態であり、root のパスワードは既知である、セキュアではない状態に設定さ
れている。
デフォルト状態において、Solaris 8 は OS のデフォルトインストール状態に
含まれ、また、有効になっているデーモンを稼動させている。付け加えるなら
ば、この機器は全ての出荷済みの機器に対し、同一の root のパスワード
("service!") を設定された状態で出荷されている。また、デフォルト設定状態
では、NFS を介し、いかなるユーザに対して書き込み権限が設定された状態で、
様々なディレクトリがエクスポートされているため、さらにセキュアではない
状態に置かれている。
この問題により、影響が及ぶシステム全体へのセキュリティ上の脅威が結果的
にもたらされ、リモートの攻撃者は問題を抱えるシステムのローカルの管理者
権限 (root 権限) を奪取する結果を招くことが可能である。
20. Microsoft Internet Explorer Zone Spoofing Vulnerability
BugTraq ID: 4753
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4753
まとめ:
Microsoft Internet Explorer において、権限昇格を招く問題が発見された。
この問題により、悪意ある Web ページがセキュリティゾーンの設定を回避可能
である。
IE の NetBIOS プロトコルを利用してアクセスするサイトに関する取り扱いが
抱える問題により、悪意をもって組み立てられた Web ページは「信頼済みサイ
ト」を開いているかの如く、IE を騙すことが可能なのである。この結果、任意
の Web ページを「イントラネットゾーン」の権限で参照させることが可能にな
る。いくつかの状況において、Web ページを「信頼済みサイト」の権限で参照
させることも可能である。
この問題を利用する攻撃により任意の Web ページを、より緩いセキュリティ設
定を利用して取り扱わせることが可能になる。
21. Microsoft Internet Explorer Cookie Content Disclosure Vulnerability
BugTraq ID: 4754
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4754
まとめ:
Microsoft Internet Explorer は、クッキー内に組み込まれたスクリプトの取
り扱い方法に関する問題を抱えている。クッキーは基本的に、それを受け取っ
た場所である Web サイト を拡張したものとして取り扱われるものであり、イ
ンターネットゾーンないに位置するものとして取り扱われるべきものである。
また、クッキーをブラウザに引き渡したサイトが所属するドメインに属するコ
ンテンツによってのみアクセスし得るものである。
しかし、Internet Explorer の特定のバージョンは、全てのクッキーを同様の
ドメインから送信されたものとして取り扱ってしまうのである。結果として、
クッキー内に組み込まれたスクリプトコードが、ローカルマシン上の全てのクッ
キー情報へのアクセス権限を奪取することが想定される。
クッキー情報内に組み込まれたスクリプトを実行するためには、クッキーファ
イルがローカルシステム上のファイルとして、通常そうあるように参照されて
いる必要がある。ファイルを参照する方法を利用する、リモートの攻撃者の攻
撃が可能になる範囲は、既知のクッキーが保存されているファイルの位置を予
測できる程度に依存している。
この問題を利用するためには、攻撃者は正確なファイル名と付け加えられたクッ
キーの送信元を知る必要があると推察される。
22. Phorum Remote Command Execution Vulnerability
BugTraq ID: 4763
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4763
まとめ:
Phorum は殆どの UNIX や様々な Linux 、そして Microsoft Windows で動作す
るように設計された、PHP を利用して開発された Web フォーラムパッケージで
ある。
Phorum について、リモートユーザによって外部から PHP スクリプトを注入さ
れ、また、潜在的にはコマンドを実行されてしまう問題が報告されている。
Phorum バージョン 3.3.2a に同梱されている 'plugin.php'、'admin.php' や
'del.php' ファイルに問題が存在する。悪意ある攻撃者は URL を介して、PHP
ファイルへ引数を引き渡すことにより、問題を抱える PHP ファイル内のパラメー
タの一を特定可能である。結果として、いかなる攻撃者から与えられるリモー
トファイル (例えば PHP スクリプト) は問題を抱えるシステム上で実行される。
注入されたファイルには、問題を抱えるシステムにおいて実行される場合、潜
在的に壊滅的な結果を引き起こすコマンドが含まれている可能性がある。
23. Xerox DocuTech Scanner Insecure Default Configuration Vulnerability
BugTraq ID: 4766
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4766
まとめ:
DocuTech はプリンタとスキャナの複合機であり、Xerox によって販売、保守
が行われている。
この機器が抱える問題により、ユーザはシステム内の任意の資源へのアクセス
権を奪取可能である。この問題は機器のデフォルト設定に由来している。
DocuTech システムのプリンタ部は WindowsNT 上で動作する Microsoft Windows
を利用して開発された製品である。デフォルト状態において、この WindowsNT
は、例えば C ドライブが完全に共有可能な状態であり、この装置上で処理され
る項目のコピーはアーカイブが取られており、Web インタフェースを介して利
用可能な状態などの、セキュアではない状態に設定されている。
システムで処理される項目のアーカイブのコピーにより、リモートユーザはシ
ステム上で既に実行された処理を全て閲覧することが可能になり、また、それ
らを実行したユーザ名も閲覧可能である。この問題は Xerox が全てのスキャナ
部に同一のパスワード ("administ") を設定している事実、そしてリモートユー
ザが外部に知られることなく Web インタフェースへこの装置に対する指示を与
えることができ得るという事実が存在しているために、さらに複雑な状態に陥
いる。
この装置のデフォルト設定により、リモートの攻撃者は問題を抱えるシステム
のローカルの資源へのアクセス権限と管理者権限を奪取可能である。
24. Cisco IDS Device Manager Arbitrary File Read Access Vulnerability
BugTraq ID: 4760
リモートからの再現性: あり
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4760
まとめ:
IDS Device Manager は Cisco IDS システムで利用される Web インタフェース
である。これは Cisco Systems によって販売および保守されている。
IDS Device Manager は、リモートの攻撃者が重要な情報へのアクセスを取得
可能となる問題を抱えている。
IDS Device Manager では、ユーザは Web を介してログの閲覧が可能である。
Cisco IDS システムが実装する馴染み深いコマンドラインユーティリティを利
用するのではなく、この機能により Web ブラウザを利用するユーザは IDS の
イベントを閲覧可能になるのである。
IDS Device Manager によりリモートユーザがシステム内の重要な情報へのアク
セスが可能になると推察される。このソフトウェアではユーザが入力した情報
を不適切に取り扱うため、ユーザは対象システム上で、本来保護されたディレ
クトリ範囲以外のファイルに対してもアクセスが可能になる攻撃 (directory
traversal attacks) を企てることが可能である。../ 文字列を含む、参照対
象のファイルを示す「タグ」を含む HTTP リクエストを与えることにより、リ
モートユーザは問題を抱えるシステム上の、いかなるファイルに対しても読み
取ることが可能になると考えられる。
この問題により、リモートユーザは問題を抱えるシステム上のファイルへの、
読み取り権限を奪取可能になるのである。IDS Device Manager はスーパーユー
ザ権限で実行されているため、リモートの攻撃者はシステムアカウントや、暗
号化されたパスワードハッシュが生成されている shadow ファイルへのアクセ
スを取得するためにこの問題を利用する可能性がある。
25. GRSecurity Linux Kernel Memory Protection Weakness
BugTraq ID: 4762
リモートからの再現性: なし
公表日: May 17 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4762
まとめ:
GRSecurity Linux Kernel patch は grsecurity development team によって
開発および保守されている、カーネルのソースに対するソースコードパッチで
ある。
このパッチの設計の誤りにより、攻撃者はこのパッチの機能である保護機能を
回避可能になると推察される。
このパッチは、メモリデバイスに書き込みを行う際、 write () システムコー
ルをリダイレクトするするように機能する。しかし、遺憾にも、システムメモ
リへの書き込みが利用可能となる他の手法 (mmap() 関数を用いてメモリへデバ
イスをマッピングするような手法) が存在するのである。
パッチによる保護を回避することで、root 権限を持ったローカルの攻撃者は、
カーネル内のデータ構造の変更やバックドアを仕掛けるために、この問題を利
用する可能性がある。
26. Gaim Sensitive World Readable Temporary File Vulnerability
BugTraq ID: 4730
リモートからの再現性: なし
公表日: May 13 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4730
まとめ:
Gaim は AOL Instant Messenger、ICQ、MSN Instant Messenger、Yahoo Instant
Messenger、Jabber や IRC に対応するチャットクライアントである。Gaim は
Linux を含む、多くの UNIX 環境で動作する。
Gaim の特定のバージョンにおいて、未認証のユーザが重要なファイルへのアク
セス権限の取得が可能である問題が報告されている。
Gaim には、ユーザが新着電子メールの有無を、対象の Web メールサービス経
由で配送されたかどうかについての確認によって行うことが可能になる機能が
存在する。
報告によると、設定対象の電子メールサービス用の認証用情報を含む、重要な
情報が一時ファイルに含まれていると考えられる。
他の設定済の Web メールに対してもこの問題は影響を及ぼすと推察されるが、
しかし、この問題は取り分け Hotmail アカウントに影響を及ぼすことが知られ
ている。おそらく Hotmail の認証用に利用されると考えられるこの種の情報内
には、Hotmailの背後の機構でタイムアウトを規定するための基準値である可能
性がある、時間の限度を設定する値が定義されていると推察される。
27. NetWin DNews Remote Access Vulnerability
BugTraq ID: 4737
リモートからの再現性: あり
公表日: May 14 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4737
まとめ:
DNews は 商用の NNTP サーバである。これは Linux、UNIX、そして Microsoft
Windows を含む、様々な OS において利用可能である。
このソフトウェアの販売元である DNews から問題が報告されている。
この問題に関連する情報は容易に入手可能ではない。しかし、販売元の DNews
は設定ファイル dnews.conf でのアクセス制御を狙う記述の追加を推奨してい
るため、この問題がリモートから実行可能であると考えられる。
この問題を利用する攻撃が成功した場合、リモートの攻撃者に攻撃対象となる
サーバへのアクセス権限を奪取されてしまう可能性がある。この問題は 7119
番ポートを介して動作する、管理インタフェースに影響を及ぼすと示唆されて
おり、DNews システムの再設定が可能である。
なお、この事項については未検証である。
28. Cisco Content Service Switch XML Denial Of Service Vulnerability
BugTraq ID: 4748
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4748
まとめ:
Cisco Content Service (CSS) スイッチは第 5 層と第 7 層を取り扱えるスイッ
チであり、Web サーバや Web キャッシュのフロントエンドとなる機能を提供し
ている。これらスイッチでは WebNS ソフトウェアが稼動している。
特定の Cisco Content Service Switches (CSS) には、Web サービスを介して
この機器の Web 管理インタフェースへ XML データを渡すことにより、機器の
再起動が生じる可能性がある。影響が及ぶ Web 管理インタフェースは 8081 番
ポートを利用する。
この問題により、リモートの攻撃者は問題を抱える機器によって提供されるこ
とが保証されている機構に対し、機能を失わせる影響を及ぼすことが可能にな
ると推察される。
CSS 11000 シリーズのスイッチはこの問題の影響が及ぶことが知られている。
なお、問題が及ぶ範囲には CSS 11050、CSS 11150、CSS 11800、CSS 11500 ハー
ドウェアプラットフォームが含まれる。
29. Cisco Cache Engine Default Configuration Arbitrary User Proxy Vulnerability
BugTraq ID: 4751
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4751
まとめ:
Cache Engines は、Web コンテンツ配布を迅速に行うため、アクセスされた Web
サイトをキャッシュするように設計されたシステムである。
これらは Cisco Systemsにおいて販売、保守が行われている。
Cache Engines は、いかなるユーザであってもプロキシとして、この機器へ HTTP
リクエストを行うことが可能になる問題を抱えている。
この問題は、この機器のファームウェアの設定に由来している。
Cisco Cache Engines は Web サーバのキャッシュだけに留まらず、Web プロキ
シ機能についても提供している。しかも、HTTPS と FTP を利用するデータ転送
についても同様である。 HTTPS サービスは様々なポート番号の中から選択され
て利用される可能性があるため、デフォルト設定状態では、このプロキシの背
後に位置するユーザは他のシステムの任意のポート番号へ接続可能なのである。
この機器ではデフォルト状態のアクセスコントロールは不十分な状態で設定さ
れているため、この機器に接続可能なユーザは、誰であっても他のシステムに
対してのリクエストをこの機器に肩代わりさせて接続することが可能になる。
この問題により、リモートユーザはこの機器の背後に自らの身元を隠し、他の
システムに対する攻撃を企てることが可能になる。この問題は Cisco Content
Engines シリーズに対しても同様に影響を及ぼす。
30. Microsoft Internet Explorer Content-Disposition Handling File Execution Vulnerability
BugTraq ID: 4752
リモートからの再現性: あり
公表日: May 15 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4752
まとめ:
この問題は BID 3578 の亜種である。
HTTP ヘッダは'content-type' と 'content-disposition' フィールドを含んで
いると仮定される。通常、これらのフィールドは、返されるデータの形式を定
義するために利用されており、クライアントでどのように取り扱われるのかが
それぞれ想定されているのである。
Microsoft Internet Explorer が指定されたファイルについて、このヘッダ情
報とファイル名との間で不整合が生じている場合の取り扱いに関する方法に問
題が存在する。IE は、特定の状況下においては、HTTP ヘッダで指定される値
を元にファイル種別を信頼する判断を行い、また別の状況下においては、ファ
イル名に基づいてファイルをどのように処理を行うかに関する判断を行う可能
性がある。
悪意ある Web サイトの管理者はこの問題を利用する可能性があり、実行可能
である特別に巧妙に作成された HTTP ヘッダが挿入されているコンテンツを送
りつけることにより、そのコンテンツが害のない形式 (Windows Media ファイ
ルのようなファイル形式) であると IE を騙すことが可能である。一度ダウロー
ドが実行されれば、そのファイルはユーザへの警告なしに、Explorer が取り扱
うべきアプリケーションとして想定しているアプリケーションへ引き渡される。
ファイル内容の解釈が不可能である状態でアプリケーションへ引き渡された際、
アプリケーションは OS へファイルの処理を任せるため、実行可能ファイルは
実行され得る可能性がある。
この亜種の問題が Windows Media Player 6.4 もしくは 7.1 が対象システム上
にインストールされている場合に実行可能となることが検証されている。
問題の影響が及ぶユーザは、以下の例のような HTTP ヘッダが返されるコンテ
ンツを参照することになる。
Content-Type: audio/x-ms-wma
Content-disposition: inline;filename="foo.exe"
Windows Media Player はエラーフラグを返す代わりに、OS へ "foo.exe" を
返すのである。
注意を怠らないユーザは、ダウンロードの進行状態を示すダイアログボックス
が現れるため、ダウンロード処理の強制終了が可能であると考えられる。
この処理を終了できるかどうかは、そのファイルのダウンロード時間に極めて
依存する。小さいファイルのダウンロードや高速なネットワークを利用してい
る状態であれば、手動で処理を中断するには時間が足りないと考えられる。
外部の資源への参照先を含むと想定される HTML 形式の電子メールを介しても、
この問題を利用する攻撃を企てることが可能となる。ファイルは電子メールの
読み込みやプレビューを介し、ダウンロードや実行が行われる可能性がある。
31. kv Poll Cookie Security Bypass Vulnerability
BugTraq ID: 4736
リモートからの再現性: あり
公表日: May 14 2002 12:00A
関連するURL:
http://www.securityfocus.com/bid/4736
まとめ:
kv Poll は KillerVault によって保守されている、Web を利用する世論調査
機能を提供するスクリプトである。
ユーザが kv Poll の世論調査に投票するセキュリティ機能を回避することが
可能となる問題が報告されている。
報告によると、票を投票していないにも関わらず、投票を行ったようにクッキー
内の値を改変可能であるため、このため一度以上の回数の投票が可能である。
クッキーは kv Poll の投票情報のためのセキュリティ尺度として利用されるよ
うに設計されている。
結果として、悪意あるユーザによって世論調査のデータの破壊を企てることが
可能である。
III. SECURITYFOCUS NEWS AND COMMENTARY
------------------------------------------
1. 'Deceptive Duo' Hacker Under House Arrest
著者: Kevin Poulsen
かつてのプロの Napster 使いである Robert "Pimpshiz" Lyttle が、消息不明
であった 2 人組みの詐欺師のうちの 1 人であることが明らかにされ、これ以
上悪意ある行為はしないという仮釈放の規則に違反したため、自宅監禁を宣告
された。
http://online.securityfocus.com/news/414
2. O'Reilly Leaks Geeks' Info
著者: Kevin Poulsen
この技術者向けの出版社は、セキュアではない Web アプリケーション用のコー
ドの典型的な例を挙げて、書籍を売り出した。
http://online.securityfocus.com/news/408
IV.SECURITYFOCUS TOP 6 TOOLS
-----------------------------
1. mail2sh v1.0
作者: Jose MANS
関連するURL: http://online.securityfocus.com/tools/2668
動作環境: Linux, POSIX, UNIX
まとめ:
Mail2sh により電子メールでシェルコマンドを転送することができるようにな
ります。電子メールはホスト上の特定のユーザへ送信され、そのユーザ名とパ
スワードが /etc/passwd ファイルにおけるものと一致する場合にそのコマンド
が実行されます。コマンドはそのユーザ権限で実行され、動作させるためにセ
キュリティレベルの間違いのないことを保証する PGP モジュールと組み合わさ
れます。システムは最初から暗号化されていない点に注意して、暗号化メカニ
ズムの利用が、セキュリティのの観点により、極めて推奨されます。
2. GrabItAll
作者: Arne Vidstrom (arne.vidstrom@ntsecurity.nu)
関連するURL: http://ntsecurity.nu/toolbox/grabitall/
動作環境: Windows 2000, Windows XP
まとめ:
GrabItAll は偽りの ARP 応答を送りつけることによって、トラフィックのリダ
イレクトを行います。このソフトウェアにより、あるコンピュータから攻撃者
のコンピュータへのトラフィックをリダイレクト、もしくは攻撃者のコンピュー
タを介して、2 つの他のコンピュータ間のトラフィックのリダイレクトができ
ます。後者の場合には、GrabItAll でもリダイレクトが実行ができるために、
IP 転送を可能にする必要があります。
3. Saint Jude v0.10 (Solaris)
作者: Tim Lawless
関連するURL: http://www.sourceforge.net/projects/stjude
動作環境: Linux, Solaris, SunOS
まとめ：
Saint Jude は完全にカーネルベースの侵入検知機構であり、不適切な権限昇格
を検知するために、 Saint Jude モデルを実行する侵入対応システムです。
Saint Jude は攻撃者に root 権限での資源へのアクセスをもたらしてしまうロー
カルからの攻撃やリモートからの攻撃といった、現在生じている攻撃や既に成
功してしまった攻撃を検知することが可能です。検知は、保護対象のコンピュー
タに対するトレーニングフェーズ中に生成される通常状態のシステムの挙動を
示すモデルに基づく、ルールベースの誤り検知機構を利用して実行されます。
実際に生じている挙動を完全に構築されたモデルと比較することにより、既知、
あるいは未知の攻撃をフォールスポジティブ、あるいは、フォールスネガティ
ブなしにまさにセキュリティホールへの攻撃を検知することが可能なのです。
4. Enigmail v0.2
作者: Fang
関連するURL: http://www.grawlfang.com/securemail/
動作環境: Perl (Perlを実行可能ないかなるシステムを含む)
まとめ:
Enigmail では、任意のパスワードヒントを備えた暗号化電子メールを送信するこ
とができます。受信者は解析を容易にするスクリプトと結合するメールメッセージ
を受け取ります。
5. WatchMan v0.20
作者: Leandro
関連するURL: http://www.drk.com.ar/watchman.php
動作環境: Linux, Posix
まとめ:
WatchMan は プロセスを強制終了するデーモンです。ユーザやカーネルモード
内で非常にたくさんの時間をとる、CPU もしくは メモリを多く使い尽くすなど
のような特定の理由により、問題が生じる可能性があるプロセスを強制終了し
ます。このソフトウェアは .conf ファイルを利用して設定可能です。
6. Distributed Checksum Clearinghouse v1.1.0
作者: Vernon Schryver
関連するURL: http://www.rhyolite.com/anti-spam/dcc/
動作環境: FreeBSD, Linux, NetBSD, POSIX, Solaris, SunOS
まとめ:
Distributed Checksum Clearinghouse (DCC) はメールメッセージに関する検査
結果を収集、計算するクライアントサーバ型のシステムです。この計算結果は、
バルクメールの検出や拒否を行う SMTP サーバや MUA によって利用可能です。
DCC サーバは共通のチェックサムを交換可能です。チェックサムにはバルクメー
ルに共通して現れるファジー、あるいは共通に現れる値が含まれています。
--
訳: 坂井順行(SAKAI Yoriyuki)、小笠原恒雄(OGASAWARA Tsuneo)
監修: 坂井順行(SAKAI Yoriyuki)
LAC Co., Ltd.
http://www.lac.co.jp/security/
smime.p7s