個人的なメモと備忘録 2004年 8月

HOME | LastUpdate: 2004-08-31

目次


2004.08.31(Tue)

やっと、少し時間的に余裕ができました。相変わらず、セキュリティ関連の問題が多いです。

>>セキュリティ関係

*Windows

Internet Explorer にアドレスバーの偽装が可能な問題が見つかっています。アクティブスクリプトを無効にすることで問題は回避できるようです。

他にも、Internet Explorer 上でドラッグ・アンド・ドロップの操作を行うと、危険なファイルをスタートアップフォルダにダウンロードされてしまうという問題も報告されています。この問題もアクティブスクリプトを無効にすることで回避できるようです。

Windows XP Service Pack2 をインストールすると、起きる不具合や解説、まとめについてのサイトです。

セキュリティ関連とは少し違いますが、Outlook Express に、メールを分割して送信する際に、BCC に指定したアドレスを表示してしまう不具合があったことが報告されています。

*Acrobat Reader

Adobe Reader 6.0.2 で修正されたと言われていた問題が完全には修正されていなかったようです。Web ブラウザから PDF 文書を表示しようとしたときに、任意のコードが実行されてしまう問題が報告されています。Web ブラウザから PDF 文書を表示しないように設定することで、この問題は回避できるようです。その設定を行うには、メニューバーの「編集」、「環境設定」、「インターネット」、「PDF をブラウザに表示」のチェックを外してください。

*PHP

japan.linux.com に、PHPのセキュリティを確保するという文書が公開されています。PHP のセーフモード、chroot 環境、mod_security を組み合わせてセキュリティ対策を行う方法が紹介されています。

*WinAmp

Winamp のスキンファイル(拡張子が .wsz の zip 圧縮ファイル)を適用した際に任意のコードが実行される可能性のある問題が報告されています。既に攻撃コードが出回っているそうですので、Winamp を使用している場合はできるだけ早く対処を行った方が良いと思います。問題が修正された Winamp 5.05 が公開されていますので、バージョンアップするか、wsz の拡張子の関連付けを削除することで問題を回避できるそうです。

*Gentoo Linux
*その他

>>気になったニュース、ツールなど

▲ 目次へ戻る


2004.08.16(Mon)

最近もセキュリティ関連情報が多いです。特にブラウザ関連で多くのセキュリティ問題が見つかり、バージョンアップやアップデートなどが頻繁に行われています。安全のため、最新版を使うようにした方が良いと思います。圧縮、解凍ツールや、libpng のセキュリティ問題など、多くのユーザが影響を受ける問題なども報告されていますので、使用しているツールのバージョンを確認し、バージョンアップを行っておくと良いと思います。

>>Vine Linux 3.0

Project Vine から日本語対応が非常に充実している Linux ディストリビューションである、Vine Linux 3.0 が公開されています。現在は i386 版のみのようです。Vine Linux 2.6r4 から多くのパッケージの変更や追加などが行われています。X Window System では X.Org が採用され、標準デスクトップ環境としては GNOME 2.4 が採用されています。詳しくは、Project Vine Press Release などを参照してください。

CD-ROM には、最小限のパッケージしか含まれていないそうですので、開発パッケージなどはパッケージ管理ツールの apt-get を使用してインストールする必要があります。多くの問題や、便利な TIPS の情報が Vine Linux 3.x Tips にありますので、インストール前に参照しておくと良いと思います。また、テキストインストーラのバグや、セキュリティ修正パッケージなども公開されています。

>>PHP 5.0.1, PHP 4.3.9RC1 公開

PHP 5.0.1PHP 4.3.9RC1 が公開されました。多くのバグ修正が含まれています。

>>セキュリティ関係

*Windows

7月31日に、緊急で Internet Explorer の累積的なセキュリティ更新プログラムが公開されました。2004 年 8 月のセキュリティ情報も参照してください。

不具合情報も出ています。

Windows XP Service Pack 2 も公開されたようです。詳しくは、Windows XP Service Pack 2 リリース ノートを参照してください。修正内容の一覧は Windows XP Service Pack 2 に含まれる修正一覧にあります。Microsoft の Windows XP Service Pack 2 セキュリティ強化機能搭載 というページで、Windows XP Service Pack 2 についての情報が公開されています。Windows XP SP2 についての紹介や新機能についての情報がありますので、Windows XP を使用している場合は読んでおくと良いと思います。

Windows XP Service Pack 2 をインストールすると、Samba 2.2.10 以前のバージョンに対して印刷を行う際に不具合が起こるという報告もあります(Release Notes for Samba 2.2.11 を参照)。この問題は Samba 2.2.11 で対処されていますが、その他のアプリケーションなどでも不具合が起きる可能性も考えられます。Windows XP Service Pack 2 をインストールの際には十分に情報を集めてからにしておいた方が良いかもしれません。

*圧縮解凍ツールの脆弱性関連

解凍ツールで、圧縮ファイルのファイルの解凍時に指定した場所以外の場所にファイルが解凍されてしまう問題が報告されています。一般的に使われている解凍ツールの多くでは既に対処されていますので、使用しているツールのバージョンの確認と必要に応じてバージョンアップを行ってください。

この問題に対応して、多くのツールでアップデートが行われたようです。使用している解凍ツールのバージョンを確認し、必要であればアップデートを行ってください。圧縮ファイル解凍の脆弱性のページに各解凍ツールの脆弱性対応状況のまとめがありますので、参考にしてください。

*Adobe (Acrobat) Reader

Unix、Linux 版の Acrobat Reader 5.0 に PDF ファイルを開くことで PDF ファイルに仕込まれた任意のプログラムを実行してしまう問題が見つかっています。この問題が修正された Acrobat Reader 5.09 が公開されていますので、バージョンアップを行ってください。

もう一つ、Adobe Reader 6.x と Adobe Acrobat Reader 5.x で不正な URI を指定した pdf ファイルの呼び出しを受けると Buffer Overflow が起きてしまうという問題が報告されています。この問題を回避するには、[Edit(編集)] - [Preferences(環境設定)] - (インターネット) - [Display PDF in browser(PDF をブラウザに表示)] のチェックを外し、ブラウザから PDF を閲覧しないように設定すれば良いようです。PDF ファイルをダウンロードしてから Adobe (Acrobat) Reader を使って PDF ファイルを閲覧することは可能です。

*Mozilla

ブラウザ、メール環境の Mozilla 1.7.1 以下、Mozilla Firefox 0.9.2 以下、Mozilla Thunderbird 0.7.2 以下のバージョンで、libpng に関する問題、証明書が偽装されてしまう問題などが報告されています。これらの問題を修正したバージョンが公開されました。

*Opera

Opera 7.53 以前のバージョンで、複数のセキュリティ問題が見つかり、問題の修正された Opera 7.54 が公開されました。

*PuTTY

PuTTY 0.54 以前に重大なセキュリティホールがあったそうです。PuTTY 0.55 が公開されています。また、PuTTY を使用して SSH を実装しているアプリケーションでも影響を受けることになりますので、WinSCP などもアップデートが行われています。PuTTY のバージョンアップ及び、PuTTY をベースにしているアプリケーションでのバージョンアップを行ってください。

*libpng

画像フォーマットの PNG を扱うライブラリである、libpng に複数のセキュリティホールが見つかったそうです。非常に危険なセキュリティホールもあるそうですので、libpng 1.2.6rc5 か、libpng-1.0.16rc5 にアップデートするか、1.2.5 以前の libpng の Patch を適用して再構築することが強く勧められています。各 Linux ディストリビューションや *BSD などで、既に修正パッケージや Security Advisory が出ていますので、アップデートを行ってください。また、libpng を静的にリンクしているアプリケーションなどがある場合は、そのアプリケーションを再構築する必要があるそうです。

この件に関連して PHP-users ML で、[PHP-users 22946]libpngの脆弱性はPHPの再コンパイルの必要あるのか?という投稿があり、参考になりそうでしたので、メモしておきます。[PHP-users 22948] によると、ldd コマンドを使用して動的リンクを行っているかどうかを確認できるようです。手元に Gentoo Linux で PNG のサポートを有効にしている PHP があるのですが、ldd コマンドで調べると以下のようになりました。

$ ldd /usr/local/bin/php | grep libpng
    libpng.so.3 => /usr/lib/libpng.so.3 (0x4018c000)

$ ldd /usr/local/apache/libexec/libphp4.so | grep libpng
    libpng.so.3 => /usr/lib/libpng.so.3 (0x40500000)

libpng は動的にリンクされていることが分かりますので、libpng.so.3 を問題が修正された libpng.so.3 に入れ替えるだけで、PHP を再度コンパイルしなおす必要はないということになります。

逆に、libpng が静的にリンクされているライブラリや実行ファイル一覧を簡単に取得する方法については分かりませんでした。nm, strings, objdump などのコマンドと、grep を組み合わせて探す方法などはあるようですが、簡単に見つけるなどはないようです。

*Rsync

August 2004 Security Advisory によると、rsync 2.6.2 以前のバージョンで、path-sanitizing バグが見つかったそうです。この問題は chroot が無効になっていて、デーモンモードで rsync を動作させていた場合に起きる問題のようです。

この問題が修正されたバージョンの rsync 2.6.3 RC1 と問題を修正するための Patch が公開されていますので、バージョンアップするか、Patch を適用してrsync を再構築してください。rsyncd.conf で "use chroot = true" として、chroot を有効にしている場合は、この問題は回避できるようです。

*Java

Java SDK と JRE 1.4.2_04 以前、1.4.1_07 以前、1.4.0_04 以前のバージョンの XSLT プロセッサにセキュリティ問題があり、信頼されていないアプレットが権限の昇格を許してしまう問題があったそうです。この問題は各プラットフォームの Java SDK/JRE 1.4.2_05 以降で修正されています。

*Linux カーネル

Linux カーネル 2.4.26 以前に複数のデバイスドライバでセキュリティ問題が見つかっています。Linux カーネル 2.4.27 で修正されています。また、Linux カーネル 2.6.7 以前、2.4.26 以前のバージョンで、カーネルメモリの情報が漏れてしまう問題も見つかっています。

*その他

>>気になったニュース、ツールなど

▲ 目次へ戻る


更新履歴

2004.08.31

8月31日分を追加。

2004.08.16

このページを作成。8月16日分を追加。

▲ 目次へ戻る

LastUpdate: 2004-08-31 | HOME