個人的なメモと備忘録 2004年 3月

>>PHP 4.3.5 公開

PHP 4.3.5 が公開されました(PHP 4.3.5 Release Announcement)。PHP 4.3.4 からの変更点などは、PHP 4 ChangeLog にあります。Apache 上でバーチャルホストを構築している場合に情報が漏洩する問題(Bug #25753 php_value|flag / php_admin_* settings "leak" from vhosts/.htaccess files)などのセキュリティ修正も含まれています(この問題については、ほとんどの Linux ディストリビューションなどで既に修正パッケージが出ています)。ソースから PHP をインストールしている場合、可能であれば、バージョンアップすることが推奨されています。

Release Announcement の日本訳と、PHP 4 ChangeLog の日本語訳についての情報が PHP-users メーリングリストに投稿されていましたので、こちらも参考にしてください([PHP-users 21010] PHP 4.3.5 Release Announcemen

PHP 4.3.5RC4 からの変更点についてですが、バージョン表記の変更が行われたくらいで、特に修正はないそうです(Re: [PHP-DEV] Re: PHP 4.3.5 Released)。

>>セキュリティ関係

>>気になったニュース、ツールなど

• PostgreSQL 7.4.X 付属ドキュメント

  日本 PostgreSQL ユーザ会から PostgreSQL 7.4 の付属ドキュメントの日本語訳が出ています。

• PHP 4.3.5

  スクリプト言語。非常に多くのバグ修正が行われています。PHP 4.3.4 からは、いくつかのセキュリティ修正なども行われています。バージョンアップすることが推奨されています。詳しくは、PHP 4 ChangeLog : Version 4.3.5 を参照してください。

• rsync 2.6.1 pre-1

  オープンソースのファイル転送ツール rsync 2.6.1 のプレビュー版。バグ修正などが行われています。詳細は、rsync-2.6.1pre-1-NEWS を参照してください。

• Ehtereal 0.10.3

  ネットワークアナライザ。新機能や変更点などは、Ethereal 0.10.3 released にありますが、セキュリティ修正が行われています(Multiple security problems in Ethereal 0.10.2)ので、バージョンアップした方が安全です。

• GIMP 2.0

  多くの OS で動作するイメージ編集ツール。スラッシュドット ジャパンの Gimp 2.0リリースに参考になりそうな情報があります。

• coLinux 0.6.0

  Windows 2000/XP 上で動作する Linux システム。

>>Multiple Browser Cookie Path Directory Traversal Vulnerability 補足

先週に書いた、Multiple Browser Cookie Path Directory Traversal Vulnerability に関する補足です。

セキュリティホール memo メーリングリスト に非常に参考になる投稿がありました([memo:7373] Cookie Path Directory Traversal Vulnerability(ユーザ名とパスワードが要求されますが、ポップアップするウインドウに入力するユーザ名とパスワードが書かれています))。

このメールで Javascript による Cookie へのアクセスが Path では制限できないことが指摘され、ブラウザでこのバグが修正されたとしても、Cookie の Path 制限に関する問題がなくなる訳ではないということが述べられています。Javascript で、Cookie の Path 制限を回避して Cookie にアクセスする方法も例示されています。

また、2001年11月に、この Cookie の Path 制限を回避できてしまう Javascript のセキュリティドメインの仕様についても指摘されていたそうです。([memo:2016] クロスサイトスクリプティングとcookieの有効path)。Cookie の有効 Path についての説明もありますので、読んでおくと良いと思います。

RFC 2965 については以下を参考にしてください。

• RFC 2965 - HTTP State Management Mechanism
• HTTP 状態管理メカニズム (RFC 2965 日本語訳)

また、RedHat Linux では、この件を含めたいくつかのセキュリティ修正が行われた Mozilla 1.4.2 の修正パッケージを公開したようです。(Updated Mozilla packages fix security issues)。

>>PHP 4.3.5RC4, PHP 5 RC1 公開

PHP 4.3.5RC4 と PHP 5 RC1 が公開されたようです。

PHP 4.3.5RC4 は、PHP 4.3.5 のリリース候補で、PHP 4.3.x の最終リリースになる予定だそうです。PHP 4.3.5RC3 から修正された内容については、CVS の NEWS にあります。

PHP 5 beta 4 からの修正点や変更点については、PHP 5 ChangeLog を参照してください。また、PHP 5 から採用される Zend Engine 2 についての説明が Changes in PHP 5/Zend Engine 2.0 にあります。

PHP マニュアルには、PHP 4.x から PHP 5 への移行に関しての説明が既に日本語訳になっているようです(PHP 4 から PHP 5への移行)。下位互換性のない変更点や、設定ファイルの移行については読んでおいた方が良いと思います。

>>セキュリティ関係

>>気になったニュース、ツールなど

• phishing――だましのメールに釣られるな

  ITPro 記者の眼 より。騙されないために気をつけるた方がよい事柄について、詳細に解説されています。

• 初級システム管理者のためのセキュリティ入門「にわか管理者奮闘記」第4回

  @IT から。

• SoftEther 1.0

  仮想ネットワーク (VPN) 構築システム。SoftEther 仮想 HUB の Linux 版も同時に公開されています。また、OpenSSL 0.9.6c から 0.9.6l に発見されたセキュリティ問題に対する情報がありました(OpenSSL で発見された脆弱性による SoftEther への影響について)。古いバージョンを使用している場合は、早期にバージョンアップを行うことが推奨されています。

• ModSecurity 1.7.6

  オープンソースの Web アプリケーション侵入検知、防止エンジン。バグ修正が行われているそうです。

• w3m 0.5

  テキストベースの Web ブラウザ。m17n Patch が取り込まれたそうです。文字コードが UTF-8 のページも表示できるようになっています。

• Mozilla 1.7beta

  オープンソースのブラウザ、メール環境。詳しくは、Mozilla 1.7 Beta Release Notes(日本語訳: Mozilla 1.7 Beta リリースノート) を参照してください。全体的なパフォーマンスが向上し、非常に多くのバグが修正されているようです。

• Apache 2.0.49

  Web サーバ。セキュリティ修正が行われています。Apache 2.0.49 Announcement に修正点など詳細があります。

• PHP 4.3.5RC4

  スクリプト言語。PHP 4.3.5 のリリース候補 4版。多くのバグ修正が行われています。詳細は、CVS の NEWS にあります。

• PHP 5 RC1

  PHP 4.x の次のバージョンで、新しいオブジェクトモデルを採用したスクリプト言語。詳細は、PHP 5 ChangeLog を参照してください。

• FVWM 2.4.18, FVWM 2.5.10

  X Window System のウインドウマネージャ。変更点については、Changes in stable release 2.4.18 (19-Mar-2004) と、Changes in alpha release 2.5.10 (19-Mar-2004) を参照してください。

>>Multiple Browser Cookie Path Directory Traversal Vulnerability

以下のサイトで、別の Path に設定された Cookie が読み取れてしまうという問題について報告されていました。

• Multiple Browser Cookie Path Directory Traversal Vulnerability (Secunia)
• Multiple Vendor HTTP User Agent Cookie Path Traversal Issue (SecuriTeam.com)
• Multiple Vendor Internet Browser Cookie Path Argument Restriction Bypass Vulnerability (Security Focus)

最初は何が問題なのか良くわからなかったのですが、調べてみるといろいろと分かりましたので、PHP でサンプルスクリプトを作成して検証してみました。

この問題は、Mozilla 1.4.1 以降、Opera 7.20 beta 7、KDE/Konqueror 3.1.4 以降のブラウザで修正されているという情報がありますが、Internet Explorer 5/6 や、Netscape 7.1 などでは、修正されていないようです。

特に問題となるのは、一つのドメイン名を複数のユーザが共用する CGI サーバで、セッション情報などの重要な情報を Cookie で扱っている場合です。掲示板などを利用して、%2e%2e が含まれたリンクを設置し、Cookie を読み取る CGI スクリプトをユーザに実行させることで別の Path 設定が行われている Cookie 情報を取得することが可能になります。場合によっては、セッションハイジャックなども可能だと思います。

検証方法としては、まず、以下の Web サーバの Document Root に user1 と user2 というディレクトリを作成して、http://[ホスト名]/user1/ と http://[ホスト名]/user2/ という形式でアクセスできるように /user1/index.php と /user2/index.phpを作成します。

検証の際には、ブラウザの設定で、Cookie 情報をダイアログに表示させるようにすると分かりやすいと思います。また、PHP の setcookie() 関数については、PHP マニュアル : setcookie に詳細な説明があります。

/user1/index.php

<?php
// Cookie に Name:user1, Content:test1, Path:/user1/ を設定
setcookie( 'user1', 'test1', time() + 3600, '/user1/' );
echo "<pre>";
echo $_SERVER['REQUEST_URI'] . "\n";  // ブラウザからのリクエスト URI を表示
echo $_SERVER['PHP_SELF'] . "\n";     // Web サーバが実際に実行した PHP スクリプトを表示
echo "user1:" . ( isset( $_COOKIE['user1'] ) ? $_COOKIE['user1'] : '' ) . "\n";
echo "user2:" . ( isset( $_COOKIE['user2'] ) ? $_COOKIE['user2'] : '' ) . "\n";
echo "</pre>";
?>

Web ブラウザから、http://[ホスト名]/user1/ にアクセスします。Cookie による変数は初回アクセスでは設定されませんので、2回目以降にアクセスすると以下のような表示になります。

/user1/             <-- /user1/ にブラウザからアクセス
/user1/index.php    <-- Web サーバでは、/user1/index.php が実行されています
user1:test1         <-- Cookie Name の user1 に test1 という値が設定されました
user2:              <-- user2 は設定されていないので、表示されません

/user2/index.php

<?php
// Cookie に Name:user2, Content:test2, Path:/user2/ を設定
setcookie( 'user2', 'test2', time() + 3600, '/user2/' );
echo "<pre>";
echo $_SERVER['REQUEST_URI'] . "\n";
echo $_SERVER['PHP_SELF'] . "\n";
echo "user1:" . ( isset( $_COOKIE['user1'] ) ? $_COOKIE['user1'] : '' ) . "\n";
echo "user2:" . ( isset( $_COOKIE['user2'] ) ? $_COOKIE['user2'] : '' ) . "\n";
echo "</pre>";
?>

同様にスクリプトを作成し、2回アクセスすると、以下のように表示されます。user1 の部分は、Cookie の Path が違うため、表示されません。

/user2/            <-- /user2/ にブラウザからアクセス
/user2/index.php   <-- Web サーバでは、/user2/index.php が実行されています
user1:             <-- user1 の Cookie の値が表示されないことを確認してください
user2:test2        <-- Cookie Name の user2 に test2 という値が設定されました

次に、http://[ホスト名]/user1/%2e%2e/user2/ に Web ブラウザでアクセスします。%2e%2e は、上位のディレクトリを表す、「..」 と同じですので、実際には、http://[ホスト名]/user2/ にアクセスすることになります。Mozilla 1.4.1 以降など、Cookie Path Directory Traversal の問題が修正されたブラウザでは、以下のように、http://[ホスト名]/user2/ と同様の結果になります。

/user2/
/user2/index.php
user1:
user2:test2

Internet Explorer 6 や、Mozilla 1.4 以下など、Cookie Path Directory Traversal の問題が存在する場合、以下のように表示されます。本来は、/user2/ にアクセスしていますので、ブラウザからは、user2 の Cookie が送信されるはずなのですが、user1 の Cookie が送信されています。つまり、/user2/ のディレクトリで、/user1/ で設定された Cookie を受け取れることになります。

/user1/%2e%2e/user2/  <-- ブラウザからのアクセス
/user2/index.php      <-- 実際には、/user2/index.php が実行されています
user1:test1           <-- Web サーバでは、user1 の Cookie を受け取っています
user2:                <-- /user2/index.php では、user2 の値は受け取れていません

この時の Internet Explorer 6 SP1(最新の修正プログラム適用済み) でアクセスしたときのリクエストヘッダを取得すると、以下のようになっていました。user1=test1 という Cookie が送信されていることが分かります。

GET /user1/%2e%2e/user2/ HTTP/1.1
Accept: */*
Accept-Language: ja
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)
Host: 192.168.0.100
Connection: Keep-Alive
Cookie: user1=test1

ユーザがこの問題は回避する方法としては、問題が既に修正されているブラウザ(Mozilla や Opera の最新版など)を使用するというのが一番良いと思います。多くのユーザが使用している Internet Explorer で問題が修正されていませんので、Cookie を無効に設定したり、共用 CGI サーバでフォームの入力などは行わないなどの自衛手段を行えば、多くの場合は問題を回避できると思います。

Web アプリケーションを提供する側であれば、独自ドメイン上でサービスを提供することで、別の Path で設定された Cookie を読み取られてしまったとしても、クロスサイトスクリプティングなどのセキュリティ問題がなければ、ユーザに対する危険を減らすことが可能だと思います。

>>セキュリティ関係

>>気になったニュース、ツールなど

• PostgreSQL 7.4.2

  オープンソースのデータベース管理システム。バグ修正が行われています。詳細は、PostgreSQL News PostgreSQL 7.4.2 Released を参照してください。

• Linux Security Auditing Tool (LSAT) 0.9.1

  セキュリティ監査ツール。

• CVS 1.11.14

  バージョン管理システム。バグ修正が行われています。詳しくは、NEWS を参照してください。CVS 1.12.6 も公開されたようです。

• KDE 3.2.1

  Linux や Unix で使用可能なオープンソースのデスクトップ環境。詳細は、KDE 3.2.1 Info Page や、KDE 3.2 to 3.2.1 Changelog で確認してください。

  KDE 3.2.0 では、日本語メッセージが含まれていなかったのですが、日本 KDE ユーザ会によると、KDE 3.2.1 では間に合ったそうです。

• KNOPPIX 3.3 日本語版 knoppix_20040216-20040220

  CD のみで起動する Linux ディストリビューション。

• Java2 SDK 1.4.2_04

  オブジェクト指向言語。1.4 系のメンテナンスリリースのようです。多くのバグ修正が含まれているようです。詳しくは、Release Notes Java[tm] 2 SDK, Standard Edition Version 1.4.2_04(日本語訳:J2SE 1.4.2_04 アップデートリリースノート)を参照してください。

• Java2 SDK 1.3.1_11

  オブジェクト指向言語。1.3 系のメンテナンスリリースのようです。修正点などはJ2SE 1.3.1_11 のリリースノートにあります。

• Tomcat 3.3.2

  Java Servlet と Java Server Pages の実装。Tomcat 3.3 系のバグ修正が行われているようです。詳細は、Apache Tomcat 3.3.2 Release Notes を参照してください。

• Linux Kernel 2.6.4

  Linux カーネル。詳しくは、ChangeLog-2.6.4 を参照してください。

>>セキュリティ関係

>>気になったニュース、ツールなど

• Subversion for CVS Users

  バージョン管理システムの Subversion についての CVS ユーザに対する文書。日本語訳をしている方がおられます(CVSユーザのためのSubversionガイド)。

• IIS 6.0 Security

  Security Focus から。Windows の IIS で Web サーバを使用している場合は参考になると思います。

• FVWM 2.5.9

  X Window System のウインドウマネージャ。前のバージョンからの変更点は Changes in alpha release 2.5.9 (2-Mar-2004) を参照してください。

• PostgreSQL 7.3.6

  オープンソースのデータベース管理システム(DBMS)。PostgreSQL 7.3.5 で見つかったバグ修正が行われています。修正内容については、PostgreSQL News PostgreSQL 7.3.6 Update Released を参照してください。

• Memtest86 3.1

  メモリのテストを行うツール。ISO イメージも公開されたようです。

• XFree86 4.4

  Unix 系の OS で使用できる X Window System。詳しくは、XFree86(TM): 4.4.0. を参照してください。