SecurityFocus.com Newsletter #46 2000-06-07->2000-06-16

To: BUGTRAQ-JP@SECURITYFOCUS.COM
Subject: SecurityFocus.com Newsletter #46 2000-06-07->2000-06-16
From: SAKAI Yoriyuki <sakai@LAC.CO.JP>
Date: Tue, 20 Jun 2000 15:33:00 +0900
Reply-To: SAKAI Yoriyuki <sakai@LAC.CO.JP>
Sender: BUGTRAQ-JP List <BUGTRAQ-JP@SECURITYFOCUS.COM>
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

坂井@ラックです。

SecurityFocus.com Newsletter 第 46 号の和訳をお届けします。
訳のない項目については「日本語訳なし」として区別してあります。
SecurityFocus.com Newsletter に関するFAQ:
<URL: http://www.securityfocus.com/forums/sf-news/faq.html>
BugTraq-JP に関する FAQ:
<URL: http://www.securityfocus.com/forums/bugtraq-jp/faq.html>

- --------------------------------------------------------------------------
- --------------------------------------------------------------------------
引用に関する備考:
・この和訳は Security-Focus.com の許可を株式会社ラックが得た上で行わ
  れています。
・SecurityFocus.com Newsletter の和訳を Netnews, Mailinglist,
  World Wide Web, 書籍, その他の記録媒体で引用される場合にはメールの
  全文引用をお願いします。
・日本語版ニュースレター 1 号から 3 号までにはこの備考が付いていませ
  んが準用するものとします。
・また、Security-Focus.com 提供の BugTraq-JP アーカイブ [*1] へのいか
  なる形式のハイパーリンクも上記に準じてください。
1) <URL http://www.securityfocus.com/templates/archive.pike?list=79>
- --------------------------------------------------------------------------
- --------------------------------------------------------------------------
この和訳に関する備考:
・この和訳の適用成果について株式会社ラックは責任を負わないものとしま
  す。
- --------------------------------------------------------------------------
- --------------------------------------------------------------------------
訳者からのお知らせ:
・もし、typo や誤訳が見つかった場合、BUGTRAQ-JP へ Errata として修正
  版をご投稿頂くか、訳者にお知らせください。
  後者の場合には修正版をできるだけ迅速に発行します。
- --------------------------------------------------------------------------
- --------------------------------------------------------------------------

SecurityFocus.com Newsletter #46
- --------------------------------

I. FRONT AND CENTER(日本語訳なし)
II. BUGTRAQ SUMMARY
	1. HP SNMPD File Permission Vulnerabilities
	2. Multiple Vendor JSP Source Code Disclosure Vulnerability
	3. Shiva Access Manager World Readable LDAP Password Vulnerability
	4. Multiple Linux Vendor restore Buffer Overflow Vulnerability
	5. Microsoft Windows NT 4.0 Remote Registry Request Dos Vulnerability
	6. RSA ACE/Server Denial of Service Vulnerability
	7. Microsoft Outlook / Exchange Blank Headers DoS Vulnerability
	8. OpenSSH UseLogin Vulnerability
	9. 3R Soft MailStudio 2000 Multiple Vulnerabilities
	10. Multiple Vendors java.net.URLConnection Applet Vulnerability
	11. Multiple Vendors HTTP Redirect Java Applet Vulnerability
	12. Kerberos KDC Denial of Service Vulnerabilities
	13. Microsoft IE for Mac getImage and classloader Vulnerabilities
	14. FreeBSD Alpha Port Lack Of /dev/random Vulnerability
	15. Computer Associates eTrust IDS Weak Encryption Vulnerability
	16. Computer Associates eTrust IDS DoS Vulnerability
	17. Network Associates PGP Certificate Server DoS
	18. Mindstorm Networks SmartFTP Daemon 0.2 Directory Traversal
	19. Ericsson Tigris Remote-Access Login Failure Vulnerability
	20. splitvt 1.6.3 Buffer Overflow Vulnerability
	21. Extropia WebBanner Input Validation Vulnerability
	22. Solaris ufsrestore Buffer Overflow Vulnerability
	23. AnalogX SimpleServer WWW 1.05 DoS Vulnerability
	24. Microsoft Windows 2000 Windows Station Access Vulnerability
	25. Norton Antivirus for MS Exchange Buffer Overflow Vulnerability
	26. Shadow Op Dragon Server Multiple DoS Vulnerabilities
	27. Norton Antivirus for MS Exchange 'Fail-Open' State Vulnerability
	28. Zope +DTMLTemplates and DTMLMethods Remote Modification
	29. Small HTTP Server Buffer Overflow Vulnerability
	30. Veritas Volume Manager 3.0.x File Permission Vulnerability
III. SECURITYFOCUS.COM NEWS ARTICLES
	1. Palm, Cell Phone viruses Distant
	2. The Cyberterror Scare of 2000
	3. Weird Science
IV.SECURITY FOCUS TOP 6 TOOLS
	1. DeleGate 6.1.14 (OS/2, Unix, Windows 95/98 and Windows NT)
	2. PHoss 1.12 (Linux)
	3. k0ld - Knocking on LDAP's door (Linux)
	4. Nessus 1.0.1 (FreeBSD, IRIX, Linux, NetBSD, OpenBSD and Solaris)
	5. httptunnel 3.0.1 (Unix, AIX, *BSD, HP-UX, Linux, Solaris and SCO)
	6. Fwctl 0.27 (Linux)


I. FRONT AND CENTER(日本語訳なし)
- ---------------------------------

II. BUGTRAQ SUMMARY
- -------------------

1. HP SNMPD File Permission Vulnerabilities
BugTraq ID: 1327
リモートからの再現性: なし
公表日: 2000-06-07
関連するURL:
http://www.securityfocus.com/bid/1327
まとめ:

Hewlett Packard社 (HP社) が提供する HP-UX に同梱されている snmpd には問
題がある。snmpd 用の設定ファイルがすべてのユーザ、グループが書き込み可能
なのである。このためシステム内のいかなるユーザであっても、snmp デーモン
の設定内容を参照でき、設定を変更可能なのである。この結果、以降の例示に
限定されないが、ルーティング、アドレス設定、arp キャッシュ、コネクション
状態等を含むシステム設定を変更可能となってしまう。しかも、設定ファイルを
原因としてアクセスレベルの権限を上昇できてしまえるのである。

snmpd には他の、ユーザがシンボリックリンクを利用し、ログの採取先を変更
できてしまえるという問題がある。ログファイルは 777 というパーミッション
のディレクトリに格納されているため、いかなるユーザであってもすでに存在す
るファイルを移動できてしまえるのだ。設定を変えられてしまう、という前出の
問題と組み合わせることで、この問題は root 権限の奪取を手助けする原因となっ
てしまえるのである。ログファイルは起動時に作成されるため、/tmp ディレク
トリの内容が消去されている間、ログファイルが作成される前にユーザがシン
ボリックリンクを作成でき、/tmp を権限上昇に利用されてしまえる、という状
態が考えられる。

2. Multiple Vendor JSP Source Code Disclosure Vulnerability
BugTraq ID: 1328
リモートからの再現性: あり
公表日: 2000-06-08
関連するURL:
http://www.securityfocus.com/bid/1328
まとめ:

適当に割り当てられた割り当て済みの拡張子のすべての組み合わせを網羅する
ものではないが、多くの Web サーバでは大文字小文字を区別してしまう。

JSP ないし、JHTML を示す拡張子を小文字から大文字に URL 中で変更すること
で、(例えば .jsp や .jhtml を .JSP ないし .JHTML にする) サーバはファ
イルの拡張子を理解できなくなってしまい、そのままファイル内容をブラウザ
へ返してしまうのである。従って、ユーザは特定のファイルについて、ソース
コードを参照できてしまえる。

3. Shiva Access Manager World Readable LDAP Password Vulnerability
BugTraq ID: 1329
リモートからの再現性: なし
公表日: 2000-06-06
関連するURL:
http://www.securityfocus.com/bid/1329
まとめ:

Intel 社により提供されている Shiva Access Manager はリモートアクセス用
の認証、照会、アカウント管理を集中管理する手段を提供する製品である。
これは Solaris および Windows NT で動作する。この製品の Solaris 版の
デフォルト設定には問題を抱えている。(Windows NT 版にも問題があると考え
られるが、これについては未検証である。) LDAP を利用して Access Manager
を設定する際、root を示すユーザ名とパスワードを表示してしまうのだ。
しかも、これらの情報は root が所有者であり、いかなるユーザであっても読
み出し可能なテキストファイルにデフォルトで記述されているのだ。
($SHIVA_HOME_DIR/insnmgmt/shiva_access_manager/radtac.ini)
この情報はこれを元に LDAP サーバに対するセキュリティ上の問題を引き起こ
し可能である。

4. Multiple Linux Vendor restore Buffer Overflow Vulnerability
BugTraq ID: 1330
リモートからの再現性: なし
公表日: 2000-06-07
関連するURL:
http://www.securityfocus.com/bid/1330
まとめ:

RedHat Linux 6.2 で提供されている dump 0.4b15-1 パッケージに含まれる
restore プログラムにはバッファオーバーフローが発生する。
テープアーカイブ名を示すプロンプトにコンピュータ上で動作可能なコード
を含む長い文字列を与えることで、攻撃者は意図的なコードを root 権限で
実行可能である。

5. Microsoft Windows NT 4.0 Remote Registry Request Dos Vulnerability
BugTraq ID: 1331
リモートからの再現性: あり
公表日: 2000-06-08
関連するURL:
http://www.securityfocus.com/bid/1331
まとめ:

Windows NT 4.0 において、リモートレジストリサーバへアクセスするための
リクエストの取り扱い中において、特別の状況が発生した際、Windows NT 4.0
は特別に改ざんされたリモートレジストリ要求を winlogon.exe が処理できな
いためクラッシュしてしまう。
通常の動作状態へ復旧させるためには再起動が必要である。

この問題を利用して攻撃を行えるのは、ネットワーク上の認証済みのユーザ
のみである。もし Windows NT がすべてのリモートレジストリ要求を拒否する
様に設定されていた場合には、どの様な場合であってもこの問題の影響を受け
ない。

6. RSA ACE/Server Denial of Service Vulnerability
BugTraq ID: 1332
リモートからの再現性: あり
公表日: 2000-06-08
関連するURL:
http://www.securityfocus.com/bid/1332
まとめ:

Windows 2000 および Solaris で動作する RSA Data Security が提供する ACE/Server
は SecureID トークンを提供する認証機能を提供する製品である。
この製品へ高速 (250/秒) の UDP データグラムが送信された場合、サーバはク
ライアントの DoS を伴って、クラッシュしてしまう。サーバが再起動されるま
で認証のための要求を待ち受ける状態には復旧不可能である。
Solaris はこの問題の影響を受けると検証済みであり、Windows 版もまた、この
問題の影響を受ける可能性がある。

7. Microsoft Outlook / Exchange Blank Headers DoS Vulnerability
BugTraq ID: 1333
リモートからの再現性: あり
公表日: 2000-06-05
関連するURL:
http://www.securityfocus.com/bid/1333
まとめ:

Microsoft Outlook および Exchange の両方は到着するメールの「 bcc: と
Reply-to:」、あるいは「Return-Path: と From:」行が空欄のままであった
場合、DoS 状態になってしまう問題がある。Outlook はこの様なメールが配
送されてきた際にはクラッシュしてしまい、Exchange は「配送不能、メモリ
やディスク容量を確認して欲しい」旨のメッセージをエラーレポートに出力
する。

8. OpenSSH UseLogin Vulnerability
BugTraq ID: 1334
リモートからの再現性: なし
公表日: 2000-06-08
関連するURL:
http://www.securityfocus.com/bid/1334
まとめ:

OpenSSH はフリーに利用可能なセキュアなリモートからのログイン機能を提供
するを ssh Version 1 の実装である。この実装では多くのディストリビュー
ションではデフォルトで no となっているログインプログラムを利用するため
のオプションがある。(該当するオプションは UseLogin である)
UseLogin オプションが on になっている場合、sshd は本来そうあるべきであ
あるが、ログインしているユーザの uid を set せずに root として動作して
しまうのだ。もしある意図的な実行コマンドが ssh クライアント経由で sshd
が動作しているホスト上で実行された場合、この弱点を突いた攻撃が可能であ
る。ログインを行う代わりに、コマンドが実行される場合、login コマンドは
利用されず、しかも適当な uid が設定されないままなのである。ssh を利用
し、UseLogin オプションを設定する音でいかなるコマンドをも root 権限で
実行可能であり、権限上昇による高い権限の奪取を引き起こす可能性がある。

9. 3R Soft MailStudio 2000 Multiple Vulnerabilities
BugTraq ID: 1335
リモートからの再現性: あり
公表日: 2000-06-09
関連するURL:
http://www.securityfocus.com/bid/1335
まとめ:

MailStudio 2000 は複数の攻撃可能な弱点がある。

このソフトウェアにはリモートユーザが CGI プログラムを使い、../ 表記を
利用することでサーバ上にあるすべてのファイルについて読み出し権限を得て
しまえる可能性がある。従って、他のユーザのメールとパスワード等の機密性
のある情報、あるいは同様にシステムの設定ファイルやパスワードファイルを
漏洩させる危険がある。

しかも、このシステムでは一意に決められないシステムで用いるユーザアカウ
ントに対してもパスワードの設定が可能なのである。(operator, gophe 等)

さらには、このシステムは userreg.cgi プログラムにおいて入力値の確認に
関する問題点を抱えている。この CGI プログラムは特定のプログラムの実行
にあたって、shell を利用している。CGI の引数に %0a を付けることで、い
かなるコマンドであっても直接指定でき、リモートユーザが root 権限で指定
したコマンドを実行できてしまえるのである。

userreg.cgi にはリモートの攻撃者が意図的なコードを root 権限で実行でき
るかどうかについて未チェックである。

10. Multiple Vendors java.net.URLConnection Applet Vulnerability
BugTraq ID: 1336
リモートからの再現性: あり
公表日: 2000-06-10
関連するURL:
http://www.securityfocus.com/bid/1336
まとめ:

Apple Mac OS Runtime Java (MRJ) のセキュリティモデルは java.net.URLConnection
によって無視できてしまえるのだ。従って、接続元で指定したホストについて
のみ接続されるべきアプレットがいかなるホストに対してでも接続できてしま
えるのである。

高木浩光氏 <takagi@etl.go.jp> は以下に示す URL の記事でいかなるホストへ
アクセスできるという問題の危険性を指摘している。

http://java-house.etl.go.jp/ml/archive/j-h-b/033470.html

これによると、悪意ある Web サイトの管理者がアプレットをファイル名とパス
が既知のファイルに含まれる重要なデータをいかなるデータ形式であってもダウ
ンロードできるように権限を付与できてしまえるとのことである。

この問題はシステムで動作している MRJ とブラウザのバージョンの組合わせに
依存する。現在利用中のコンピュータが問題を抱えるかどうかについては、ブ
ラウザのバージョンと MRJ のバージョンを以下の URL を元に確認されたい。

http://java-house.etl.go.jp/ml/archive/j-h-b/033471.html (英語)
http://java-house.etl.go.jp/ml/archive/j-h-b/033152.html (日本語)

11. Multiple Vendors HTTP Redirect Java Applet Vulnerability
BugTraq ID: 1337
リモートからの再現性: あり
公表日: 2000-06-10
関連するURL:
http://www.securityfocus.com/bid/1337
まとめ:

悪意ある Web サイトの管理者が Web ページ内で提供されるアプレットを HTTP
のリダイレクト先を別の場所へ向け、ファイル形式に関係なく、重要なデータを
悪意ある Web サイトへ送り返させてしまえる、という問題が発見された。
これは Mac OS Runtime Java (MRJ) の実装におけるアプレットのセキュリティ
モデルが上記の設定を管理者が行う場合の処理を無視してしまうために発生して
しまうのである。

この問題はシステムで動作している MRJ とブラウザのバージョンの組合わせに
依存する。現在利用中のコンピュータが問題を抱えるかどうかについては、ブ
ラウザのバージョンと MRJ のバージョンを以下の URL を元に確認されたい。

http://java-house.etl.go.jp/ml/archive/j-h-b/033471.html (英語)
http://java-house.etl.go.jp/ml/archive/j-h-b/033152.html (日本語)

12. Kerberos KDC Denial of Service Vulnerabilities
BugTraq ID: 1338
リモートからの再現性: あり
公表日: 2000-06-09
関連するURL:
http://www.securityfocus.com/bid/1338
まとめ:

Kerberos4 KDC は DoS を引き起こせるバッファオーバーフローを起こしてし
まうという弱点を抱えている。Kerberos KDC に対し、もしも壊れたリクエスト
が与えられた場合、プロセスの動作に影響を与える静的なバッファについての
バッファオーバーフローを起こしてしまうのである。このバッファオーバーフ
ロー状態が長く続けられた場合、サービスはクラッシュしてしまう。端的に述
べるならばリモートユーザはリモート経由で Kerberos KDC サービスを利用で
きない様にできてしまえるのである。
この問題に関連するバッファオーバーフローは、攻撃者がターゲットとなった
サーバにおいて意図的なコードを実行できるように攻撃できるかどうかについ
ては未詳である。

13. Microsoft IE for Macintosh getImage and classloader Vulnerabilities
BugTraq ID: 1339
リモートからの再現性: あり
公表日: 2000-04-16
関連するURL:
http://www.securityfocus.com/bid/1339
まとめ:

悪意ある Web サイトの管理者がファイヤウォールの内側にあったとしてもイメー
ジファイルをダウンロードできてしまったり、JAVA プログラムのあるセグメン
トを HTTP リダイレクトと getImage 関数あるいは classloader 関数を利用し
て入手できてしまえる弱点が発見された。

getImage に関する弱点は、いかなる Web サーバ上からもイメージファイルの獲
得を可能にする。イメージファイルはアプレットが存在するサーバ、あるいは他
のサーバへダウンロード先を仕向けられる。classloader に関する弱点は重要な
情報が格納されている可能性がある JAVA プログラムの実行コードの一部をダウ
ンロードできてしまえるというものである。

どちらの弱点を突く場合においても、攻撃者は入手したいと考えるファイルのファ
イル名とパスを知っている必要がある。

14. FreeBSD Alpha Port Lack Of /dev/random and /dev/urandom Vulnerability
BugTraq ID: 1340
リモートからの再現性: 未詳
公表日: 2000-06-12
関連するURL:
http://www.securityfocus.com/bid/1340
まとめ:

Alpha アーキテクチャ用の FreeBSD では /dev/random と /dev/urandom が提供
されていない。これらのデバイスは製品やツールが暗号生成のための強固な乱数
発生のためのエントロピーの程度を収集するために利用可能である。
どちらのデバイスをもデバイス走査時に発見できなく、デバイスからの読み出し
に失敗したソフトウェアは生成された鍵に対して単純な暗号解析攻撃に対する脆
弱性を抱えてしまう。OpenSSL version 0.9.4 と OpenSSH の両方でこの問題に
ついての検証が行われ、この攻撃に対する弱点を抱えると報告されている。

15. Computer Associates eTrust IDS Weak Encryption Vulnerability
BugTraq ID: 1341
リモートからの再現性: あり
公表日: 2000-06-07
関連するURL:
http://www.securityfocus.com/bid/1341
まとめ:

Computer Associates 社の eTrust Intrusion Detection System (旧製品名は
SessionWall-3 である) がユーザがアプリケーションのレジストリ設定を参照
し、設定するためのパスワードを暗号化する方法は問題がある。

リモートあるいはローカルのいずれかのレジストリにアクセス可能なユーザは
攻撃ツール (sw3passw.exe) あるいは単純な XOR 手法を用いてパスワードを
平文へ復号化することが可能である。

パスワードが含まれるレジストリキーは以下の位置である。
HKEY_LOCAL_MACHINE\Software\ComputerAssociates\SessionWall\1.0\Security\AdminPassword

始めのバイト数はキー (n) の長さを示し、続く n バイトはキーを示す。残り、
最後が null で終わる以外の部分は暗号化されたパスワードである。

16. Computer Associates eTrust Intrusion Detection System DoS Vulnerability
BugTraq ID: 1342
リモートからの再現性: あり
Date Published: 2000-06-07
関連するURL:
http://www.securityfocus.com/bid/1342
まとめ:

それぞれがユニークな MAC アドレスの数千個の discovery パケットが
Computer Associates eTrust Intrusion Detection System (旧製品名は
SessionWall-3 である) に送られた場合、システムは不安定になる。
Windows NTで実行している場合、ユーザーインターフェイスはセッションを捕
捉しようとし続けてクラッシュする。Windows 9xでは CPU を使いきってしまう。
通常の機能を回復するにはアプリケーションを再起動する必要がある。

17. Network Associates PGP Certificate Server Unresolveable IP Address DoS
BugTraq ID: 1343
リモートからの再現性: あり
公表日: 2000-06-14
関連するURL:
http://www.securityfocus.com/bid/1343
まとめ:

PGP 認証サーバはデフォルトではポート4000を用いてサービスを提供している。
リモートユーザーが利用する IP アドレスを名前解決できない場合、
「アドレス 0x00000000 のメモリを参照できない」というエラーメッセージを
表示してサービスは停止する可能性がある。

18. Mindstorm Networks SmartFTP Daemon 0.2 Directory Traversal Vulnerability
BugTraq ID: 1344
リモートからの再現性: あり
公表日: 2000-06-13
関連するURL:
http://www.securityfocus.com/bid/1344
まとめ:

Mindstorm Networks SmartFTP Daemon にアカウントを追加する際は、各アカウ
ントごとにパスワード、ユーザ権限、他の関連した詳細を含んだ
username.FTP_userというファイル名で、ユーザー毎にファイルが生成される。
SmartFTP Daemon の匿名を含む既存のアカウントを持ち、書き込み権限がある
ユーザは、このファイルを修正し、ファイルシステムの適当な場所に置くこと
によって、ホストへのすべてのアクセスを獲得できる。

この弱点を突いた攻撃は username.FTP_user のファイル名で、任意のユーザ名
とすべてのアクセス権を書き込んだユーザー毎のファイルをアップロードする
ことによって可能である。このファイルは、ログインプロンプトで
"../path/username" ('../'の数はディレクトリの階層の数による) のユーザ名
でログインすることでアクセスできる。これによって、ftp サーバはユーザ毎の
ファイルに明記されたアクセス権限を与えられる。

19. Ericsson Tigris Remote-Access Login Failure Vulnerability
BugTraq ID: 1345
リモートからの再現性: あり
公表日: 2000-06-13
関連するURL:
http://www.securityfocus.com/bid/1345
まとめ:

Tigris operating system software にあるバグによって、Radius アカウント
管理機能には通常のログイン状態中の、ある条件のログを取れない問題がある。
ユーザがログイン認証に失敗したとき、PPP 認証ルーチンは、ユーザが新たに
接続を確立しなくても再試行することを許してしまう。従ってユーザがログイ
ンできた場合、Tigris はそのユーザのためのアカウント管理データを送らない
可能性があるのだ。この場合、Radius 管理機能は PPP 接続のログを残さず、
接続の詳細は記録されないことになってしまう。

20. splitvt 1.6.3 Buffer Overflow Vulnerability
BugTraq ID: 1346
リモートからの再現性: なし
公表日: 2000-06-01
関連するURL:
http://www.securityfocus.com/bid/1346
まとめ:

splitvtの1.6.3、およびそれ以前のバージョンには root 権限を奪取される可能
性があるバッファオーバーフローが存在する。splitvt はいくつかの Linux の
ディストリビューションで配布されている。

21. Extropia WebBanner Input Validation Vulnerability
BugTraq ID: 1347
リモートからの再現性: あり
公表日: 2000-06-14
関連するURL:
http://www.securityfocus.com/bid/1347
まとめ:

Extropia WeBanner は Web サーバの管理者がバナーをランダムに表示できる様
にするための perl で作成されたオープンソースの CGI プログラムである。
そのうちの一つ、index.cgiに入力値の確認を行う確認に関して弱点がある。
ユーザーが入力できる HTTP 変数 (html_file) をメタキャラクタに対するチェッ
クを行わずに open()関数に引き渡してしまうのだ。
その結果、対象となったホストで任意の命令を実行できたり、Web サーバの権
限でリモートからアクセスされてしまう可能性がある。

22. Solaris ufsrestore Buffer Overflow Vulnerability
BugTraq ID: 1348
リモートからの再現性: なし
公表日: 2000-06-14
関連するURL:
http://www.securityfocus.com/bid/1348
まとめ:

Sunが提供するの Solaris には、アーカイブやバックアップを復元するための
ufsrestore というファイルシステムユーティリティが付属している。このユー
ティリティはデフォルトでは setuid であり、バッファーオーバーフローを起
こす弱点がある。この問題は、この類の弱点を正す、もしくは防ぐために試み
ようとしたコード中の見落としにある。
ufsrestore で使われる関数の中では、2つの strncat コール
(2つのNULL terminated arraysを組み合わせる libc で提供される関数) が文字
列を作るために使われている。ufsrestore のプログラマは、最大バイト長を得
るために strncat 関数を利用することによって、バッファーオーバーフローを
避けるための努力をした。しかし、問題は、不正な長さのバイトが strncat 関
数に長さとして送られることである。
strncat に渡されるバイトの長さは (その関数がコピーすべき最大長) はバッ
ファ全体 (作られているバッファ) のサイズで、これは strncat を通してオー
バーフローが生じる可能性がある。この弱点を突くことによって、root 権限を
ローカルで奪取される可能性がある。

23. AnalogX SimpleServer WWW 1.05 DoS Vulnerability
BugTraq ID: 1349
リモートからの再現性: あり
公表日: 2000-06-15
関連するURL:
http://www.securityfocus.com/bid/1349
まとめ:

SimpleServer WWW 1.05 が動いているサーバのポート番号 80 に長い URL が送
られた場合、サービスが応答を停止してしまう原因となる。通常の機能を回復
するにはサーバーを再起動する必要がある。

24. Microsoft Windows 2000 Windows Station Access Vulnerability
BugTraq ID: 1350
リモートからの再現性: なし
公表日: 2000-06-15
関連するURL:
http://www.securityfocus.com/bid/1350
まとめ:

Windows2000 が動作しているコンピュータでローカルにログインしているユーザ
であれば、他のユーザのプロセスにシステムプロセスと同様にアクセスできる。
これはログインしているユーザよりも低い限定されたセキュリティのコンテクス
トの元で実行しているプロセスを修正すること許可してしまう。

この弱点はローカルマシンにのみ影響し、リモートシステムには関係ない。

25. Norton Antivirus for MS Exchange Buffer Overflow Vulnerability
BugTraq ID: 1351
リモートからの再現性: あり
公表日: 2000-06-14
関連するURL:
http://www.securityfocus.com/bid/1351
まとめ:

Norton Antivirus for MS Exchange unzip engine は、電子メールに添付された
zip ファイルを誤った方法で扱ってしまう。NAV for Exchange が長いファイル
名が付けられたファイルを含む zip アーカイブを走査しようとすると、サービ
スは停止し、再起動するまで、そのあとの電子メールを走査しない。

26.Shadow Op Dragon Server Multiple DoS Vulnerabilities
BugTraq ID: 1352
リモートからの再現性: あり
公表日: 2000-06-16
関連するURL:
http://www.securityfocus.com/bid/1352
まとめ:

Shadow Ops Software の Dragon Server パッケージ バージョン 1.00 と 2.00
には、DoS 攻撃に対する 2 つの弱点が存在する。2 つの異なるネットワーク
サービスに大きな引数を与えることで、サービスへアクセスできなくなる。

ftpサーバに USER コマンドを送信し、コマンドの後に約16,500文字のバッファ
を引数に与えると、ftpサーバがクラッシュする。

また、約16,500文字のバッファをユーザーネームのあるtelnetサーバへ送るこ
とにより、このサーバをクラッシュさせることが出来る。

これらは両方とも、境界のチェックが不十分であることに起因している。

27.Norton Antivirus for MS Exchange 'Fail-Open' State Vulnerability
Bugtraq ID: 1353
リモートからの再現性: あり
公表日: 2000-06-14
関連するURL:
http://www.securityfocus.com/bid/1353
まとめ:

特定の状況の元で、Norton AntiVirus for MS Exchange は、'fail-open' を表
示しウイルスを含むメールのメッセージの配送拒否を失敗してしまう。このため
受信者にウイルスに感染したメールを送りつけてしまう。しかし、この場合感
染したメーールの送信は、イベントビューアでは記録される。
Norton AntiVirus は、サービスを再起動するまで、'fail-open' を表示し続け
る。

28.Zope +DTMLTemplates and DTMLMethods Remote Modification Vulnerability
Bugtraq ID: 1354
リモートからの再現性: あり
公表日: 2000-06-15
関連するURL:
http://www.securityfocus.com/bid/1354
まとめ:

Zope はソースが公開された、多くの UNIX プラットフォーム上で作動する、
人気がある Web アプリケーションサーバである。最近 Zope の提供元が発行
したセキュリティアドバイザリでは、攻撃者が DTMLMethods もしくは、
DTMLDocuments をリモートから改竄させてしまう問題について、説明されてい
る。この問題は、Zope の基本クラスにあるメソッドが、不適切に保護されて
いるため、適切な認証がなくても、リモートもしくは DTML コードを使って攻
撃の可能性があるということである。

29.Small HTTP Server Buffer Overflow Vulnerability
BugTraq ID: 1355
リモートからの再現性: あり
公表日: 2000-06-16
関連するURL:
http://www.securityfocus.com/bid/1355
まとめ:

Small HTTP Server のいくつかのバージョンにはバッファオーバーフローが発
生する。問題は、Web サーバに対して長い、改ざんされた HTTP GET リクエス
ト(65000 個もしくはそれ以上の文字) によって引き起こされる。

30.Veritas Volume Manager 3.0.x File Permission Vulnerability
Bugtraq ID: 1356
リモートからの再現性: なし
公表日:2000-06-16
関連するURL:
http://www.securityfocus.com/bid/1356
まとめ:

Veritas Software の Volume Manager 製品 バージョン 3.0.x には弱点が存在
する。Volume Manager はポピュラーなディスク管理パッケージである。
Solaris 8 以前のバージョンの Solaris で Volume Manager を稼動させている
場合に、問題が発生する。

スタートアップ時に、/etc/rc2.d/S96vmsa-serverスクリプトは実行されるが、
この際にはまだ、umask は設定されていないため、親プロセスの umask が継承
されるはずであるが、親プロセスの umask は設定されていないままなのである。
また、サーバが起動すると、/var/opt/vmsa/logs に .server_pids というファ
イルを作成するが、これについても umask が設定されていないので、パーミッ
ションは 666 になってしまう。
(読み込み、書き込みの可能なユーザ、グループ及びその他一般)

このソフトウェアのコントロールスクリプトは、Storage Administrator サーバ
の様々な機能を管理している。スクリプトは、サーバ停止のリクエストを受ける
と、server_pids ファイルの内容を実行する。.server_pids ファイルへは、
いかなるユーザも内容を変更することができるため、悪意あるユーザが、
.server_pids に任意のコマンドを書き、その後、システム管理者がコント
ロールスクリプトの /opt/VRTSvmsa/bin/vmsa_server を停止時に呼び出すだけ
で攻撃が成立してしまう。.server_pids file にあるコードは、ユーザのスクリ
プトを実行しているが、ほとんどの場合、root 権限で実行される。

この弱点は、管理者が、vmsa_server スクリプトを stop 引数付きで実行した
場合に有効である。shutdown が原因ではない。

Solaris 8 がインストールされているコンピュータの場合、
/etc/ec2.d/S96vmsa-server のスクリプトの実行以前にシステムの umask が
022に設定されるため、この問題の影響を受けない。また、実行の結果、
.server_pids ファイルにその他一般へ書き込み権限を与えないため、ファイル
の内容は変更されない。


III. SECURITYFOCUS.COM NEWS AND COMMENTARY
- ------------------------------------------

1. Palm, Cell Phone viruses Distant  (June 14, 2000)

携帯、モバイル電話機器に対する脅威の発露は遠い未来ではない。
Palm に予防対策を打つのは早すぎるのか?

http://www.securityfocus.com/news/48

2. The Cyberterror Scare of 2000  (June 19, 2000)

電子版真珠湾攻撃は最初の期限を逸してしまった。

http://www.securityfocus.com/commentary/49

3. Weird Science  (June 12, 2000)

現代の精神医学はハッカーの「診断」の見直しを行っている

http://www.securityfocus.com/commentary/47


IV.SECURITY FOCUS TOP 6 TOOLS
- -----------------------------

1. DeleGate 6.1.14 (OS/2, Unix, Windows 95/98 and Windows NT)
作者: Yutaka Sato, ysato@etl.go.jp
URL:
	http://www2.securityfocus.com/data/tools/delegate6.1.14.tar.gz

DeleGate は多目的のアプリケーションレベルのゲートウェイもしくは多数のプ
ラットフォーム(Unix, Windows及びOS/2)で作動するプロキシサーバーです。
DeleGateはいくつかのプロトコル(HTTP, FTP, NNTP, POP, Telnet等)の通信を
確立し、キャッシュを割り当てデータを転送し、クライアントやサーバーへの
ルーティングのアクセスをコントロールします。クライアントとサーバー間の
プロトコルを翻訳し、それぞれのサーバーをエイリアシング及びフィルタリン
グを行ってシングルサーバーにマージします。これは1994年3月にGopher向け
の簡易プロキシとして誕生し、一般的なプロキシサーバーに成長しています。
DeleGateはプロキシとして以外にも、いくつかのプロトコル(HTTP, FTP及びNNTP
)に対応した簡易サーバーとして使用できます。

2. PHoss 1.12 (Linux)
作者: FX, <fx@phenoelit.de>
URL:
	http://www2.securityfocus.com/data/tools/PHossS.gz

このソフトウェアはパスワードスニファーです。
POP3、HTTP、LDAP、FTP、Telnet 及び IMAP4 でクリアテキストのパスワードを
発見します。また、VNC へはチャレンジ/レスポンス認証による接続を探します。

3. k0ld - Knocking on LDAP's door (Linux)
作者: FX, <fx@phenoelit.de>
URL:

LDAP 認証は強力なツールです。全てのユーザーをダウンロードする匿名バ
インディングの LDAP ツリーを使用し、全てのユーザーのディレクトリへのア
クセスを試します。与えられた DN によって再帰的に動作します。

4. Nessus 1.0.1 (FreeBSD, IRIX, Linux, NetBSD, OpenBSD and Solaris)
作者: Renaud Deraison, deraison@cvs.nessus.org
URL:
	http://www2.securityfocus.com/data/tools/nessus-core-1.0.1.tar.gz

Nessus は無料の、アップデートされた完全な機能を備えたリモートセキュリ
ティスキャナであり、Linux、BSD、Solaris その他のシステムで利用できるも
のです。これはマルチスレッドでプラグインベースで動作し、使いやすい GTK
インターフェースを持ち、現在370以上のリモートセキュリティチェックを行う
ことができるものです。報告の形式も多様で (HTML、LaTex、ASCIIテキスト)、
問題を指摘するだけでなくその問題の解決方法の提示も行います。
SMBチェック (リモートレジストリやパーミッションのチェック) はgmp3.0を使
用しており、グラフ生成のバグやメモリリークを修正し、パフォーマンスの向
上及び Nessus の改良を行ってプラグインをアップデートしています。

5. httptunnel 3.0.1 (Unix, AIX, *BSD, HP-UX, Linux, Solaris and SCO)
作者: Lars Brinkhoff, lars@nocrew.org
URL:
	http://www2.securityfocus.com/data/tools/httptunnel-3.0.1.tar.gz

httptunnelは、ファイアウォールによって制限された独立したコンピュータか
ら HTTP プロキシ経由で、アクセスしたインターネットとの双方向性のデータ
チャンネルを生成します。

6. Fwctl 0.27 (Linux)
作者: Francis J. Lacoste, francis.lacoste@iNsu.COM
URL:
	http://www2.securityfocus.com/data/tools/Fwctl-0.27.tar.gz

Fwctlは強固なファイアウォールの構築をより容易にするためのプログラムで
す。これにより、より簡単で、ipchainからの低レベルなプリミティブをより
分かり易く表現したコンフィグレーションシンタックスを提供します。多数の
仮装インターフェースやパケットアカウントのインターフェースをサポートし
ています。Fwctlは優秀なセキュリティエンジニアに成り代わることはできま
せんが、セキュリティエンジニアの仕事を簡素化することが可能です。これに
より、報告書作成やバグ修正のためのメモリの使用を減らすことができます。

Translated by	SAKAI Yoriyuki <sakai@lac.co.jp>
		YANAOKA Hiromi <yanaoka@lac.co.jp>
		KAGEYAMA Tetsuya <t.kageym@lac.co.jp>
		SUZUKI Hidefumi <h.suzuki@lac.co.jp>
LAC Co., Ltd. <URL: http://www.lac.co.jp/security/>

-----BEGIN PGP SIGNATURE-----
Version: PGPfreeware 5.5.3i for non-commercial use <http://www.pgpi.com>
Comment: SAKAI Yoriyuki

iQA/AwUBOU6RjJQwtHQKfXtrEQLHbACeLtcZyw9zbk1au7M4f2IjGpoSEZcAoOmL
j6Hhf78DyPQZdbJvYPNZxKtX
=zF2i
-----END PGP SIGNATURE-----