SecurityFocus.com Newsletter #93 2001-5-9->2001-5-17

To: bugtraq-jp@securityfocus.com
Subject: SecurityFocus.com Newsletter #93 2001-5-9->2001-5-17
From: KAGEYAMA Tetsuya <t.kageym@lac.co.jp>
Date: Wed, 23 May 2001 11:03:56 +0900
Delivered-To: mailing list bugtraq-jp@securityfocus.com
Delivered-To: moderator for bugtraq-jp@securityfocus.com
List-Help: <mailto:bugtraq-jp-help@securityfocus.com>
List-Id: <bugtraq-jp.list-id.securityfocus.com>
List-Post: <mailto:bugtraq-jp@securityfocus.com>
List-Subscribe: <mailto:bugtraq-jp-subscribe@securityfocus.com>
List-Unsubscribe: <mailto:bugtraq-jp-unsubscribe@securityfocus.com>
Mailing-List: contact bugtraq-jp-help@securityfocus.com; run by ezmlm
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

影山@ラックです。

SecurityFocus.com Newsletter 第 93 号の和訳をお届けします。
訳のない項目については「日本語訳なし」として区別してあります。

- ---------------------------------------------------------------------------
SecurityFocus.com Newsletter に関するFAQ:
<URL: http://www.securityfocus.com/forums/sf-news/faq.html>
BugTraq-JP に関する FAQ:
<URL: http://www.securityfocus.com/forums/bugtraq-jp/faq.html>
- ---------------------------------------------------------------------------
引用に関する備考:
・この和訳は Security-Focus.com の許可を株式会社ラックが得た上で行わ
  れています。
・SecurityFocus.com Newsletter の和訳を Netnews, Mailinglist,
  World Wide Web, 書籍, その他の記録媒体で引用される場合にはメールの
  全文引用をお願いします。
・日本語版ニュースレター 1 号から 3 号までにはこの備考が付いていませ
  んが準用するものとします。
・また、Security-Focus.com 提供の BugTraq-JP アーカイブ [*1] へのいか
  なる形式のハイパーリンクも上記に準じてください。
1) <URL http://www.securityfocus.com/templates/archive.pike?list=79>
- ---------------------------------------------------------------------------
- ---------------------------------------------------------------------------
この和訳に関する備考:
・この和訳の適用成果について株式会社ラックは責任を負わないものとしま
  す。
- ---------------------------------------------------------------------------
- ---------------------------------------------------------------------------
訳者からのお知らせ:
・もし、typo や誤訳が見つかった場合、BUGTRAQ-JP へ Errata として修正
  版をご投稿頂くか、訳者にお知らせください。
  後者の場合には修正版をできるだけ迅速に発行します。
- ---------------------------------------------------------------------------
- ---------------------------------------------------------------------------
原版:
Message-ID: <Pine.GSO.4.30.0105211130390.1867-100000@mail>
Date: Mon, 21 May 2001 11:31:23 -0600 (MDT)

SecurityFocus.com Newsletter #93
- --------------------------------

I. FRONT AND CENTER(日本語訳なし)
     1. Hardening Win 2K, Part One: Seeing the Forest in Spite of the Trees
     2. Solaris and IP Filter: How to Make Them Your NAT Solution
II. BUGTRAQ SUMMARY
     1. MS IIS/PWS Escaped Characters Decoding Command Execution Vulnerability
     2. Man -S Heap Overflow Vulnerability
     3. Rumpus Remote FTP Server DoS Vulnerability
     4. Rumpus FTP Server Plaintext Password Vulnerability
     5. Microsoft IIS Various Domain User Account Access Vulnerability
     6. Becky! Internet Mail Buffer Overflow Vulnerability
     7. McAfee Remote Desktop Denial of Service Vulnerability
     8. Omnicron Technologies OmniHTTPd Pro POST DoS Vulnerability
     9. iPlanet Web Publisher Remote Buffer Overflow Vulnerability
     10. IIS WebDav Lock Method Memory Leak DoS Vulnerability
III. SECURITYFOCUS.COM NEWS ARTICLES
     1. Virus attacks Echelon
     2. Nevada probes Vegas phone hacks
IV.SECURITY FOCUS TOP 6 TOOLS
     1. BUGS 4.0.1
     2. DoorWatch v1.1
     3. TraceDet v1.0
     4. Syslog-ng (Next Generation) v1.4.11
     5. Dante 1.1.10
     6. PIKT - Problem Informant/Killer Tool v1.13.0

I. FRONT AND CENTER(日本語訳なし)
- ---------------------------------

II. BUGTRAQ SUMMARY
- -------------------

1. MS IIS/PWS Escaped Characters Decoding Command Execution Vulnerability
BugTraq ID: 2708
リモートからの再現性: あり
公表日: 2001-05-15
関連するURL:
http://www.securityfocus.com/bid/2708
まとめ:

Microsoft IIS にはリモートのユーザが意図的なコマンドを実行可能な問題が
存在する。これは CGI に利用されるプログラムのファイル名に対するリクエス
トの取り扱いに由来して生じる。

IIS のデフォルトでは CGI へのリクエストに対して 2 つに分かれた動作を行
っている。最初の動作ではファイル名の種別 (.exe、.com 等) とファイルの正
当性を判定するためのデコード処理を行い、最後の動作でファイルが処理を行う
かどうかを決定する CGI へのパラメータのデコード処理を行うのである。

最後のプロセスには文書で明示されていない第三の処理が含まれている。この
処理では IIS が与えられた CGI へのパラメータを個別化するに留まらず、既
にセキュリティチェック処理が承認した CGI 自身のファイル名のデコードも行
ってしまうのである。このため、エスケープ文字から成るファイル名がセキュ
リティチェックを通過できてしまう場合、第二の処理はファイル名に含まれる
エスケープ文字をエスケープ文字が意図する意味に戻してしまい、そこで記述
される内容を解釈してしまうのである。エスケープ文字が示す内容に依存する
が、様々な行為が想定可能である。例えば '..%255c' は '..\' を示すため、
'..%255c' を '..\' へデコードすることは、ディレクトを開示されてしまう可
能性がある。この問題を突いた攻撃が行われる手段を用いて、意図的なコマン
ドの実行の可能性が存在する。

なお、上記に示されたリクエストは ISER_コンピュータ名 アカウントの権限で
行われることは注記されねばならない。

この問題を突く攻撃者はターゲットとなったホストのこのアカウント権限にア
クセスできることが想定され、攻撃者はさらなる権限奪取を行える可能性があ
り、この可能性に基づくならばシステムの全ての権限を奪取する可能性がある。

Windows 2000 Server、Professional 環境において様々なエンコードを行わせ
られ、異なる結果を起こしえる攻撃のバリエーションが既に報告されている。

また、Personal Web Server 1.0 および 3.0 もこの問題の影響を受けると報告
されている。

2. Man -S Heap Overflow Vulnerability
BugTraq ID: 2711
リモートからの再現性: なし
公表日: 2001-05-13
関連するURL:
http://www.securityfocus.com/bid/2711
まとめ:

システム内のマニュアルを閲覧するためのプログラム man にはヒープオーバー
フローが発生する問題が存在する。

この問題は -S オプションに与えられる引数に対する長さチェックの誤りによっ
て引き起こされる。

- -S オプションへ引き渡された値は malloc() を用いて割り当てられたヒープ上
のバッファへコピーされる。しかしこのコピー処理は境界チェックを行ってい
ない処理であるため、malloc() で割り当てられたバッファの長さを越えるいか
なるデータであっても、割り当てられたバッファ近傍のメモリを上書きしてし
まうのである。このため、攻撃者は他の malloc() によって割り当てられたバ
ッファのヘッダを、他のバッファに対して free() が呼ばれた際に攻撃者が与
えた値で意図するアドレスが上書きされる様に上書き可能なのである。上書き
されるメモリ内の位置はヌルポインタ (4 null byte列) が後ろに付随していな
ければならない。ポインタが指し示すグローバルオフセットテーブル内の最後
のエントリをスタック内の置き換えられた関数が呼び出された際に実行されつ
ようなシェルコードに置き換えることが可能である。

この結果、シェルコードは man グループの権限で実行され、システムの設定に
も依存するが、ターゲットとなったホストのさらなる権限奪取を引き起こす可能
性がある。

3. Rumpus Remote FTP Server DoS Vulnerability
BugTraq ID: 2716
リモートからの再現性: あり
公表日: 2001-05-15
関連するURL:
http://www.securityfocus.com/bid/2716
まとめ:

Rumpus FTP Server は TCP/IP 経由でのファイル共有機能 (訳注:FTP サーバ機
能) を MacOS 上で実装したソフトウェアである。

このソフトウェアはリモートから匿名ユーザとしてログイン可能であり、65 文
字以上の名前が付けられたディレクトリを作成することでサービスをシャット
ダウン可能である。

4. Rumpus FTP Server Plaintext Password Vulnerability
BugTraq ID: 2718
リモートからの再現性: あり
公表日: 2001-05-15
関連するURL:
http://www.securityfocus.com/bid/2718
まとめ:

Rumpus FTP Server は TCP/IP 経由でのファイル共有機能 (訳注:FTP サーバ機
能)を MacOS 上で実装したソフトウェアである。

このソフトウェアでは、パスワードは平文で「初期設定」フォルダ内の Rumpus
User Database と呼ばれるファイルに格納されてしまう。

「初期設定」フォルダへのアクセスが制限されていない場合、リモートのユー
ザは平文のパスワードファイルを参照でき、サーバ内のいかなるユーザアカウ
ントに対してアクセスできてしまえる。

5. Microsoft IIS Various Domain User Account Access Vulnerability
BugTraq ID: 2719
リモートからの再現性: あり
公表日: 2001-05-14
関連するURL:
http://www.securityfocus.com/bid/2719
まとめ:

Microsoft IIS には FTP のドメイン認証の取り扱いに問題を抱えている。

ユーザが正当なログイン名に特別に選択した文字列を追加して認証を試みる際、
FTP サービスはユーザに対してアカウントが所属するドメインを提示するよう
に求めてはこないのである。また、サービスはドメインやユーザアカウントに
対して信頼されたドメインを探す代わりに、もしアカウントが有効である場合、
該当するユーザは完全に認証済みとみなされてしまうのである。

一度攻撃者が正当なユーザアカウントを入手でき得た場合、総当り攻撃技術 
(brute force techniques) を用いた信頼済みドメインへのアクセスの試みに利
用されてしまうことが可能である。

この問題をついた攻撃が成功した場合、どちらも将来ターゲットとなったコン
ピュータへのさらなる攻撃を手助けできる情報の一部である環境情報やユーザ
名の存在が本来隠されていなければならないにも関わらず開示されてしまう。

6. Becky! Internet Mail Buffer Overflow Vulnerability
BugTraq ID: 2723
リモートからの再現性: あり
公表日: 2001-05-14
関連する URL:
http://www.securityfocus.com/bid/2723
まとめ:

Becky! Internet Mail はシェアウェアのメールクライアントである。

Becky! Internet Mail にはバッファオーバーフローが発生する問題が 3 つ存
在する。メッセージを作成したり転送したりする時にバッファオーバーフロー
が発生すると報告されている。メッセージの作成や転送は、MUA を使用してい
るユーザによって行われる必要がある。

65536 バイト以上の改行の無い文字列をメッセージとして作成すると、オーバ
ーフローが発生しプログラムがクラッシュする。8188 バイトの改行の無い文字
で構成されているメッセージを他のメールアドレス宛てに転送する際にも、同
様の挙動を示す。

これによって攻撃者は、Becky! Internet Mail を使用しているシステム上で
オーバーフローを利用するようなメッセージを構成することが可能である。

攻撃者が作成した悪意あるメッセージを、ターゲットとなるユーザが返信や転
送し、そのメッセージの長さが操作もしくは予測されていた場合、この弱点は
リモートから利用が可能となる。この問題を利用する最も現実的な方法は、実
際に'返信'した際のテキストの長さが未知のものにし、ターゲットユーザが悪
意あるメッセージを転送するよう仕向けることである。

この弱点を利用することで、リモートからの攻撃者は、受信者のホストへのア
クセス権を奪取する可能性がある。

7. McAfee remote Desktop Denial of Service Vulnerability
BugTraq ID: 2726
リモートからの再現性: あり
公表日: 2001-05-16
関連する URL:
http://www.securityfocus.com/bid/2726
まとめ:

McAfee Remote Desktop は、ユーザがリモートから Microsoft Windows 9x/ME/NT
システムへ接続するためのユーティリティである。

McAfee Remote Desktop は 5044 番ポート及び 5045 番ポートを使用してデー
タの送受信を行っている。大量のパケットが 5045 番ポートに送信された場合、
アプリケーションは一時的に応答しなくなる。いくつかの場合では、手動での
再起動が必要になると報告されている。これはバッファオーバーフローが原因
であると考えられているが、確認はされていない。

攻撃を繰り返すことで、DoS 状態を引き伸ばすことが可能である。

8. Omnicron Technologies OmniHTTPd Pro POST DoS Vulnerability
BugTraq ID: 2730
リモートからの再現性: あり
公表日: 2001-05-15
関連する URL:
http://www.securityfocus.com/bid/2730
まとめ:

OmniHTTPD は Omnicron Technologies が提供しているコンパクトな Windows 
ベースの Web サーバである。OmniHTTPD は多数の機能があり、複数のドメイン、
keep-alive 接続、仮想 IP 及び non-IP 型のサーバ、標準的な CGI をサポー
トしている。

リモートからのユーザは、OmniHTTPD を使用しているホストを DoS 状態に陥れ
ることが可能である。4111 バイト以上の異常に長い POST リクエストをホスト
に与えることによって、サーバはクラッシュする。この攻撃はログファイルに
は記録されない。

通常機能の復旧にはサーバの再起動が必要である。

9. iPlanet Web Publisher Remote Buffer Overflow Vulnerability
BugTraq ID: 2732
リモートからの再現性: あり
公表日: 2001-05-15
関連する URL:
http://www.securityfocus.com/bid/2732
まとめ:

iPlanet Webserver は Sun-Netscape Alliance が提供する http サーバである。

GETPROPERTIES、GETATTRIBUTENAMES などを含む Publisher のメソッドの引数
に、2000 バイト以上の文字が指定されたリクエストを与えることによって、バッ
ファオーバーフローが発生する。

これによって再起動が必要となり、リモートからの攻撃者は DoS 攻撃を成功さ
せることが可能となる。その結果影響のあるサービスが停止する可能性がある。

入力されたバッファが適切に組み立てられていた場合、攻撃者リがモートシス
テムのシェルを奪取する可能性がある。

この問題を利用した攻撃の成功は、ターゲットホストを完全に操作することに
なるであろう。

Windows NT 上で iWS4.1sp3-7 をインストールしているシステムのみがこの攻
撃の影響を受ける。iWS4.1sp3-7 のユーザは NSAPI をインストールすることを
推奨する。

10. IIS WebDav Lock Method Memory Leak DoS Vulnerability
BugTraq ID: 2736
リモートからの再現性: あり
公表日: 2001-05-17
関連する URL:
http://www.securityfocus.com/bid/2736
まとめ:

Microsoft IIS 5.0 には DoS 攻撃が成立する弱点が存在する。

WebDav 拡張 (特に httpext.dll のバージョンが 0.9.3940.21 以前のものであ
る場合) に存在する欠陥によって、リモートからの攻撃者は、HTTP LOCK メソ
ッドを介して存在しないファイルをリクエストしつづけることによって、DoS 
状態に陥れることが可能である。

これによってメモリ資源がすべて消費され、結果としてホストがクラッシュし、
再起動が必要となる。

攻撃者が DoS 状態を無限に引き伸ばすように仕向け、サーバを再起動すること
を故意に妨害する可能性があるということに注意しなければならない。

III. SECURITYFOCUS.COM NEWS AND COMMENTARY
- ------------------------------------------
1. Virus attacks Echelon
著者: Thomas C. Greene, The Register

大きな内容を隠し持つテキストを含んでいる Outlook ワームの LoveBug の新
種が、国家安全保障局の Echelon スパイ衛星ネットワークをひきつけ、過重に
負担をかけるようにデザインされているようだとの報告書が、英国を本拠地と
するアンチウィルス会社の Sophos により報告されている。

http://www.securityfocus.com/templates/article.html?id=206

2. Nevada probes Vegas phone hacks
著者: Kevin Poulsen

ハッカー達は、過失の町をコントロールできるのであろうか。アダルト物の管
理者、私立探偵、保釈保証人、賞金目当てに犯人探しをする人など皆が言うの
には、疑わしいサイバーパンクの犯罪組織に困らされたと感じたと言うことで
ある。州では調査を開始したが、オンライン上でその様に感じた人々は無数に
いるであろうと思われてる。

http://www.securityfocus.com/templates/article.html?id=205

IV.SECURITY FOCUS TOP 6 TOOLS
- -----------------------------
1. BUGS 4.0.1
プラットフォーム: FreeBSD、HP-UX、Linux、NetBSD、OpenBSD、Solaris、
SunOS、UNIX、Windows 2000、Windows 3.x、Windows 95/98、Windows NT
作者: Sylvain Martinez (martinez@encryptsolutions.com)
関連する URL:
http://www.securityfocus.com/tools/634

BUGS は強力な秘密鍵暗号アルゴリズムとそのアプリケーションです。簡単に使
用でき、サンプルアプリケーションとドキュメントがあります。この暗号のラ
イブラリはフリーで利用することができます。マルチプラットフォームに対応
し、オープンソースで、ファイル暗号化アプリケーション、セキュアなチャッ
ト、セキュアな"more"コマンド、ログインアプリケーションなどからなるパッ
ケージが提供されています。

2. DoorWatch v1.1
プラットフォーム: Windows 2000
作者: corea2k
関連する URL:
http://www.securityfocus.com/tools/1936

IP/ポート/NetBIOS/トロイの木馬のスキャニング、Whois Ping、Test Ping、
Attack NetStatus、Whois NSLookup Finger 機能等が利用できます。

3. TraceDet v1.0
プラットフォーム: Windows NT
作者: FoxThree
関連する URL:
http://www.securityfocus.com/tools/2043

TraceDet は Windows NT 用の Traceroute Detector です。基本的に、誰かが
あなたのホストに traceroute を実行した場合、検知しログに記録します。
このソフトウェアのアイデアは、誰かが traceroute をあなたのホストに実行
した場合、受信する IP パケットの TTL の値が 1 であること利用し、このよ
うなパケットを警戒します。WinPCAP ドライバが必要です。

4. Syslog-ng (Next Generation) v1.4.11
プラットフォーム: BSDI、Linux、Solaris
作者: Balazs Scheidler (bazsi@balabit.hu)
関連する URL:
http://www.securityfocus.com/tools/1300

syslog-ng は、その名前が示すように新時代に要請される機能を追加した syslogd
です。オリジナルの syslogd はプライオリティとファシリティの組み合わせに
基づいて並べられたメッセージのみ使用しました。しかし、syslog-ng には正
規表現を使用したメッセージの内容に基づいたフィルタを使用する機能が追加
されました。新しい設定スキーマは直感的で分かりやすく、しかも強力です。
TCP を介してログを転送する機能や転送するときに通過した経路を記憶する機
能は、ファイヤウォールで護られた環境には欠かせないでしょう。

5. Dante 1.1.10
プラットフォーム: Digital UNIX/Alpha、IRIX、Linux、OpenBSD、Solaris、SunOS
作者: Inferno Nettverk A/S (info@inet.no)
関連する URL:
http://www.securityfocus.com/tools/1103

Dante は、 socks バージョン 4、socks バージョン 5 (rfc1928)、msproxy と
いったプロキシプロトコルの自由に利用できる実装です。ネットワーク間のフ
ァイヤウォールとしても使用できます。パッケージは、socks、msproxy、HTTP
プロキシをサポートする socks サーバとプロキシクライアントの 2 つから構
成されます。商業利用も可能です。

6. PIKT - Problem Informant/Killer Tool v1.13.0
プラットフォーム: AIX、FreeBSD、HP-UX、IRIX、Linux、Solaris、SunOS
作者: Robert Osterlund (robert.osterlund@gsb.uchicago.edu)
関連する URL:
http://www.securityfocus.com/tools/752

PIKT は、システムの監視、問題の報告と修正、システム設定の管理のためのク
ロスプラットフォーム多機能ツールキットです。ユニークで労力を削減する機
能を持った埋め込み型スクリプト言語、スクリプトとシステム設定ファイルの
プリプロセッサ、スケジューラ、インストーラ、その他のツールからなってい
ます。

Translated by ICHINOSE Sayo, KAGEYAMA Tetsuya, KOMATSU Misa, 
              SAKAI Yoriyuki
LAC Co., Ltd. Computer Security Laboratory
http://www.lac.co.jp/security/

-----BEGIN PGP SIGNATURE-----
Version: PGP for Personal Edition 5.5.5J
Comment: KAGEYAMA Tetsuya

iQA/AwUBOwqb1M32EXDdoEFfEQKnKgCfYS6bQNTwKFDh2CD5r/OQ0Z7UEvwAniE/
SS5y16nqbXFDrJmwOgt8BXiw
=ajyM
-----END PGP SIGNATURE-----