HOME | LastUpdate: 2004-08-31
やっと、少し時間的に余裕ができました。相変わらず、セキュリティ関連の問題が多いです。
Internet Explorer にアドレスバーの偽装が可能な問題が見つかっています。アクティブスクリプトを無効にすることで問題は回避できるようです。
他にも、Internet Explorer 上でドラッグ・アンド・ドロップの操作を行うと、危険なファイルをスタートアップフォルダにダウンロードされてしまうという問題も報告されています。この問題もアクティブスクリプトを無効にすることで回避できるようです。
Windows XP Service Pack2 をインストールすると、起きる不具合や解説、まとめについてのサイトです。
セキュリティ関連とは少し違いますが、Outlook Express に、メールを分割して送信する際に、BCC に指定したアドレスを表示してしまう不具合があったことが報告されています。
Adobe Reader 6.0.2 で修正されたと言われていた問題が完全には修正されていなかったようです。Web ブラウザから PDF 文書を表示しようとしたときに、任意のコードが実行されてしまう問題が報告されています。Web ブラウザから PDF 文書を表示しないように設定することで、この問題は回避できるようです。その設定を行うには、メニューバーの「編集」、「環境設定」、「インターネット」、「PDF をブラウザに表示」のチェックを外してください。
デスクトップ環境の KDE で Security Advisory が出ています。KDE 3.3 で修正されています。
japan.linux.com に、PHPのセキュリティを確保するという文書が公開されています。PHP のセーフモード、chroot 環境、mod_security を組み合わせてセキュリティ対策を行う方法が紹介されています。
Winamp のスキンファイル(拡張子が .wsz の zip 圧縮ファイル)を適用した際に任意のコードが実行される可能性のある問題が報告されています。既に攻撃コードが出回っているそうですので、Winamp を使用している場合はできるだけ早く対処を行った方が良いと思います。問題が修正された Winamp 5.05 が公開されていますので、バージョンアップするか、wsz の拡張子の関連付けを削除することで問題を回避できるそうです。
MacOS X 上の Netscape 7.x と Mozilla 1.7.x、 Mozilla Firefox 0.x で、複数タブを使用していた場合、Java アプレットの表示に問題があるそうです。Java を無効にすることでこの問題は回避できるそうです。
zlib の inflate()
関数と inflateBack()
関数のエラーハンドリングの問題により、DoS 攻撃か可能になってしまうという問題のようです。既に多くの Linux ディストリビューションで修正が行われています。
MySQL 4.0.20 以下のバージョンに含まれる mysqlhotcopy コマンドに、不正な一時ファイルを作成してしまう可能性のある問題が報告されています。
MySQL 4.0.20 以下のバージョンで、DNS から返される IP アドレスの長さのチェックを行っていないため、Buffer Overflow が起こされてしまう可能性があるそうです。この問題は MySQL 4.0.21 で修正されているそうです。
Windows 用のセキュリティスキャナ。
Windows 用の SCP クライアント。バグ修正などが行われています。詳しくは、WinSCP Version history を参照してください。
SoftEther の作者が作成している SoftEther の通信を検知するツールと遮断するツール。フリーウェアとして無償公開されています。
Java Servilet、JSP 環境。詳しくは、The Tomcat 5 Servlet/JSP Container Changelog を参照してください。
Unix 系の OS で動作するオープンソースの Windows NT / 2000 互換のファイル、プリントサーバ。バグ修正が行われています。詳細は、Release Notes for Samba 3.0.6 を参照してください。
通信を暗号化するネットワークツール、サーバなどが含まれています。変更点などについては、メーリングリストに投稿された、OpenSSH 3.9 released(日本語訳:[ssh:00220] Re: OpenSSH 3.9,3.9p1リリース) や、OpenSSH ChangeLog を参照してください。OpenSSH 情報 のページには、翻訳文書などがあります。また、スラッシュドット・ジャパンの OpenSSH 3.9 リリースにも情報があります。
Mozilla ベースのブラウザ。英語版の Netscape 7.2 が公開されたようです。日本語版が公開されるかは分かりません。詳しくは Netscape 7.0 - 7.2 Release Notes を参照してください。
CD のみで起動する Linux ディストリビューションの日本語版。coLinux や QEMU を使って Windows 上から KNOPPIX を起動させることが可能になったそうです。
セキュリティスキャナ。
オープンソースのデータベース管理システム。深刻なバグが修正され、アップデートが強く推奨されています。詳しくは、Update Releases 7.2.5, 7.3.7, 7.4.5 Available, Recommended.を参照してください。PostgreSQL 7.4.x で、PostgreSQL 7.4.3 からの変更点は、Release Notes PostgreSQL Release 7.4.5 にあります。
最近もセキュリティ関連情報が多いです。特にブラウザ関連で多くのセキュリティ問題が見つかり、バージョンアップやアップデートなどが頻繁に行われています。安全のため、最新版を使うようにした方が良いと思います。圧縮、解凍ツールや、libpng のセキュリティ問題など、多くのユーザが影響を受ける問題なども報告されていますので、使用しているツールのバージョンを確認し、バージョンアップを行っておくと良いと思います。
Project Vine から日本語対応が非常に充実している Linux ディストリビューションである、Vine Linux 3.0 が公開されています。現在は i386 版のみのようです。Vine Linux 2.6r4 から多くのパッケージの変更や追加などが行われています。X Window System では X.Org が採用され、標準デスクトップ環境としては GNOME 2.4 が採用されています。詳しくは、Project Vine Press Release などを参照してください。
CD-ROM には、最小限のパッケージしか含まれていないそうですので、開発パッケージなどはパッケージ管理ツールの apt-get
を使用してインストールする必要があります。多くの問題や、便利な TIPS の情報が Vine Linux 3.x Tips にありますので、インストール前に参照しておくと良いと思います。また、テキストインストーラのバグや、セキュリティ修正パッケージなども公開されています。
PHP 5.0.1 と PHP 4.3.9RC1 が公開されました。多くのバグ修正が含まれています。
詳しい修正点や変更点については PHP 5 ChangeLog Version 5.0.1 を参照してください。PHP 5.0.1 では、Apache 1.3.31 との組み合わせで起こる HTTP 認証時に $_SERVER["PHP_AUTH_USER"]
が定義されないというバグ(Bug #29132 $_SERVER["PHP_AUTH_USER"] is not in headers anymore?)も修正されていますので、PHP 5.0.0 を使用している場合はバージョンアップした方が良いと思います。
多くのバグ修正が行われています。詳しくは、CVS の NEWS(PHP 4.3.9RC1) を参照してください。
7月31日に、緊急で Internet Explorer の累積的なセキュリティ更新プログラムが公開されました。2004 年 8 月のセキュリティ情報も参照してください。
以下の脆弱性の修正が行われたようです。
これらの回避策としては、Internet Explorer のイントラネットゾーンとインターネットゾーンの設定を「高」にして、ActiveX コントロールおよび Active スクリプティングを実行する前にダイアログを表示するように設定する、Outlook Express など HTML 形式の電子メールを表示する設定になっているメーラの設定で、電子メールをテキスト形式で表示するように変更する方法が挙げられています。
Internet Explorer では、Internet Explorer 5.x および 6.0 の更新プログラムのロールアップも公開されています。セキュリティ更新プログラム 832894 (MS04-004) から、セキュリティ更新プログラム 867801 (MS04-025) までに公開された Internet Explorer 用の修正プログラムがすべて含まれているそうです。
Exchange Server 5.5 Outlook Web Access で、外部からコードが実行される問題が見つかっています。
この問題の回避策として、各 Exchange サイトで Outlook Web Access を無効にする方法と、Outlook Web Access の削除が挙げられています。
不具合情報も出ています。
Windows XP Service Pack 2 も公開されたようです。詳しくは、Windows XP Service Pack 2 リリース ノートを参照してください。修正内容の一覧は Windows XP Service Pack 2 に含まれる修正一覧にあります。Microsoft の Windows XP Service Pack 2 セキュリティ強化機能搭載 というページで、Windows XP Service Pack 2 についての情報が公開されています。Windows XP SP2 についての紹介や新機能についての情報がありますので、Windows XP を使用している場合は読んでおくと良いと思います。
Windows XP Service Pack 2 をインストールすると、Samba 2.2.10 以前のバージョンに対して印刷を行う際に不具合が起こるという報告もあります(Release Notes for Samba 2.2.11 を参照)。この問題は Samba 2.2.11 で対処されていますが、その他のアプリケーションなどでも不具合が起きる可能性も考えられます。Windows XP Service Pack 2 をインストールの際には十分に情報を集めてからにしておいた方が良いかもしれません。
解凍ツールで、圧縮ファイルのファイルの解凍時に指定した場所以外の場所にファイルが解凍されてしまう問題が報告されています。一般的に使われている解凍ツールの多くでは既に対処されていますので、使用しているツールのバージョンの確認と必要に応じてバージョンアップを行ってください。
この問題に対応して、多くのツールでアップデートが行われたようです。使用している解凍ツールのバージョンを確認し、必要であればアップデートを行ってください。圧縮ファイル解凍の脆弱性のページに各解凍ツールの脆弱性対応状況のまとめがありますので、参考にしてください。
Unix、Linux 版の Acrobat Reader 5.0 に PDF ファイルを開くことで PDF ファイルに仕込まれた任意のプログラムを実行してしまう問題が見つかっています。この問題が修正された Acrobat Reader 5.09 が公開されていますので、バージョンアップを行ってください。
もう一つ、Adobe Reader 6.x と Adobe Acrobat Reader 5.x で不正な URI を指定した pdf ファイルの呼び出しを受けると Buffer Overflow が起きてしまうという問題が報告されています。この問題を回避するには、[Edit(編集)] - [Preferences(環境設定)] - (インターネット) - [Display PDF in browser(PDF をブラウザに表示)] のチェックを外し、ブラウザから PDF を閲覧しないように設定すれば良いようです。PDF ファイルをダウンロードしてから Adobe (Acrobat) Reader を使って PDF ファイルを閲覧することは可能です。
ブラウザ、メール環境の Mozilla 1.7.1 以下、Mozilla Firefox 0.9.2 以下、Mozilla Thunderbird 0.7.2 以下のバージョンで、libpng に関する問題、証明書が偽装されてしまう問題などが報告されています。これらの問題を修正したバージョンが公開されました。
Opera 7.53 以前のバージョンで、複数のセキュリティ問題が見つかり、問題の修正された Opera 7.54 が公開されました。
PuTTY 0.54 以前に重大なセキュリティホールがあったそうです。PuTTY 0.55 が公開されています。また、PuTTY を使用して SSH を実装しているアプリケーションでも影響を受けることになりますので、WinSCP などもアップデートが行われています。PuTTY のバージョンアップ及び、PuTTY をベースにしているアプリケーションでのバージョンアップを行ってください。
画像フォーマットの PNG を扱うライブラリである、libpng に複数のセキュリティホールが見つかったそうです。非常に危険なセキュリティホールもあるそうですので、libpng 1.2.6rc5 か、libpng-1.0.16rc5 にアップデートするか、1.2.5 以前の libpng の Patch を適用して再構築することが強く勧められています。各 Linux ディストリビューションや *BSD などで、既に修正パッケージや Security Advisory が出ていますので、アップデートを行ってください。また、libpng を静的にリンクしているアプリケーションなどがある場合は、そのアプリケーションを再構築する必要があるそうです。
この件に関連して PHP-users ML で、[PHP-users 22946]libpngの脆弱性はPHPの再コンパイルの必要あるのか?という投稿があり、参考になりそうでしたので、メモしておきます。[PHP-users 22948] によると、ldd
コマンドを使用して動的リンクを行っているかどうかを確認できるようです。手元に Gentoo Linux で PNG のサポートを有効にしている PHP があるのですが、ldd
コマンドで調べると以下のようになりました。
$ ldd /usr/local/bin/php | grep libpng libpng.so.3 => /usr/lib/libpng.so.3 (0x4018c000) $ ldd /usr/local/apache/libexec/libphp4.so | grep libpng libpng.so.3 => /usr/lib/libpng.so.3 (0x40500000)
libpng は動的にリンクされていることが分かりますので、libpng.so.3 を問題が修正された libpng.so.3 に入れ替えるだけで、PHP を再度コンパイルしなおす必要はないということになります。
逆に、libpng が静的にリンクされているライブラリや実行ファイル一覧を簡単に取得する方法については分かりませんでした。nm
, strings
, objdump
などのコマンドと、grep
を組み合わせて探す方法などはあるようですが、簡単に見つけるなどはないようです。
August 2004 Security Advisory によると、rsync 2.6.2 以前のバージョンで、path-sanitizing バグが見つかったそうです。この問題は chroot が無効になっていて、デーモンモードで rsync を動作させていた場合に起きる問題のようです。
この問題が修正されたバージョンの rsync 2.6.3 RC1 と問題を修正するための Patch が公開されていますので、バージョンアップするか、Patch を適用してrsync を再構築してください。rsyncd.conf で "use chroot = true"
として、chroot を有効にしている場合は、この問題は回避できるようです。
Java SDK と JRE 1.4.2_04 以前、1.4.1_07 以前、1.4.0_04 以前のバージョンの XSLT プロセッサにセキュリティ問題があり、信頼されていないアプレットが権限の昇格を許してしまう問題があったそうです。この問題は各プラットフォームの Java SDK/JRE 1.4.2_05 以降で修正されています。
Linux カーネル 2.4.26 以前に複数のデバイスドライバでセキュリティ問題が見つかっています。Linux カーネル 2.4.27 で修正されています。また、Linux カーネル 2.6.7 以前、2.4.26 以前のバージョンで、カーネルメモリの情報が漏れてしまう問題も見つかっています。
@IT から。Web アプリケーションファイアウォールについての説明と、mod_security の紹介。
@IT から。Snort についての説明。
ネットワーク分析ツール。バグ修正などが行われているようです。詳しくは、Ethereal 0.10.6 released - Thursday, August 12, 2004 を参照してください。
Unix 系の OS で動作するオープンソースの Windows NT / 2000 互換のファイル、プリントサーバの日本語版。セキュリティ修正が含まれており、機能追加などはないそうです。詳しくは、日本Sambaユーザ会 - ニュースリリース 20040804-1 を参照してください。
Unix 系の OS で動作するオープンソースの Windows NT / 2000 互換のファイル、プリントサーバの日本語版。バグ修正が行われています。Samba 2.x では、10月1日でサポート期間が切れるそうですので、気をつけてください。問題がなければ、Samba 3.x にバージョンアップした方が良いかもしれません。Release Notes for Samba 2.2.11 も参照してください。
Linux カーネル。Linux Kernel 2.4.27 では、複数のセキュリティ修正が行われているそうです。変更点などについては、Linux カーネル 2.4.8.1 の場合は、Summary of changes from v2.6.7 to v2.6.8 と Summary of changes from v2.6.8 to v2.6.8.1 を、Linux カーネル 2.4.27 ではChangeLog-2.4.27 を参照してください。
Windows 用の SCP クライアント。PuTTY のセキュリティホールの影響を受けるため、バージョンアップを行ってください。修正点については、Version history - WinSCP を参照してください。WinSCP 日本語サイトも参考にしてください。
スクリプト言語。多くのバグ修正が行われています。詳しくは、PHP 5 ChangeLog Version 5.0.1 や、CVS の NEWS(PHP 4.3.9RC1)を参照してください。
Ruby によって実装されたバックアップシステム。いくつかの機能改善や、細かい修正が行われたようです。
オープンソースのネットワーク侵入検知システム(NIDS)。バグ修正が行われているようです。
オープンソースのファイル転送ツール。セキュリティ修正が行われています。詳しくは、August 2004 Security Advisory と、NEWS for rsync 2.6.3 (UNRELEASED) を参照してください。
ブラウザ。セキュリティ修正が行われています。詳しくは、Opera 7.54 for Windows Changelog を参照してください。
オープンソースのブラウザ、メール環境。セキュリティ問題の修正が行われています。詳細は、Mozilla 1.7.2 Release Notes、Release Notes - Firefox 0.9 (One Tree Hill)、Release Notes - Thunderbird 0.7 を参照してください。
ネットワーク負荷の監視、グラフ化ツール。バグ修正などが行われているようです。詳細は、MRTG CHANGES を参照してください。
8月31日分を追加。
このページを作成。8月16日分を追加。
LastUpdate: 2004-08-31 | HOME