Debian GNU/Linuxの開発版であるpotatoに含まれる、rxvtを拡張したターミナルプログラムEtermに、root権限を奪うことのできるセキュリティーホールが見つかりました。
問題のあるバージョンはetermの0.8.8であり、今のところリリース版hammに含まれる0.7、開発版slinkに含まれる0.8.7には問題は見つかっていません。
問題のあるetermを利用しているユーザーは、eterm_0.8.8-5以降のパッケージにバージョンアップすることが推奨されています。
参照URL：Eterm: Root exploit in eterm
少なくとも、現在の開発版であるDebian GNU/Linux 2.1(aka: slink)以降のバージョンに含まれるwgetプログラムが、-Nオプションを用いた際、シンボリックリンクのpermissionを変更しようとする問題が見つかっています。
対策としてDebian Teamは、リリース版であるDebian 2.0(hamm)に含まれるwget_1.4.5-0.1をインストールするか、この問題を修正したwget_1.5.3が出るまでインストールを見合わせることを推奨しています。
なお、この問題が他のdistribution及びOSで発現するかどうかは不明ですので、このバージョンのwgetを使っているシステムでは各自確認を行なったほうがいいでしょう。
参照URL：wget: Improper handling of symlink permissions
動作中のプログラムによるファイルの利用状況を調べる、lsofというツールに問題が見つかりました。
このプログラムがroot setuidされている場合、あるいはkmemにsetgidされ/dev/kmemのpermissionがgroup writableである場合、root権限が奪われる可能性があります。
lsofプログラムが上記の条件でインストールされている場合、setuidあるいはsetgidを解除することが推奨されています。
なお、これにより弊害としては、一般ユーザーがlsofを利用することができなくなります。
参照URL：
lsof: Buffer overflow in lsof
[HERT] Advisory #002 Buffer overflow in lsof
Netscape Communicatorに、以前のものとは別のframe spoofingバグが見つかりました。
もっとも、以前のframe spoofingバグと原因は同じだという話もあり、正確なところは断定できません。
現状の対策としては、やはりJavaScriptをoffにすることになります。
参照URL：
Netscape Communicator "Window spoofing security bug".
ここにはデモンストレーションもあります。各自の責任において試してください。
C|NETの記事
アメリカで「Happy99.exe」というワームがとても広まっているというニュースがあります。
このワームに感染すると、画面に花火が表示され、winsock32.dllが書き換えられます。そして、TCP/IPを使った通信を監視して、自分自身の複製をメールやニュースに添付ファイルとして割り込ませます。自分自身の複製であるHappy99.exe以外にも、LISTE.SKAというmail addressや購読しているNews Groupの一覧がかかれたファイルも添付されているそうです。
感染したファイルを壊すことはないそうですが、複製や監視に伴うリソースの圧迫などが想定されます。
なお、オリジナルのwinsock32.dllは、WSOCK32.SKAという名前でバックアップされているため、修復は容易だということです。
参照URL：
Ska Virus
ZDNNの記事
Internet Explorer 4.0と5.0βに搭載されている、コンテンツフィルタリングの機能を無効にできる方法が公開されました。
このフィンタリング機能はContent Advisorと呼ばれ、W3CのPICS(Platform for Internet Content Selection)に従って動作するものです。
回避する方法は、単純にレジストリを書き換えるというもので、子供などがレジストリをいじることができないというスタンスで実装されていたということです。
下記のページでは、それに必要なレジストリファイルを公開しています。
参照URL：
Disable Content Advisor Censorware in Microsoft Internet Explorer
C|NETの記事
シェルスクリプトなどをsetuidして走らせる際の問題を解決するツールであるsuperに2種類のバッファオーバーフローが見つかりました。
Debuan GNU/Linuxでは、この問題に対するパッチを発表しました。
superパッケージを使っている人は、修正されたパッケージに更新することが推奨されます。
参照URL：
super: Buffer overflow in super.
Debian GNU/Linux 2.0(hamm)、2.1(slink)、unstable用。
(ライブラリを用いないのでパッケージは共通です)
super_3.11.7-1.diff.gz(ソース)
MD5 checksum: ad2b28848ab83824e9a4256fb5610c6a
super_3.11.7-1.dsc(ソース)
MD5 checksum: a380591182beb282aca04f52c90a99d2
super_3.11.6.orig.tar.gz(ソース)
MD5 checksum: 591cdcc50c9cfbaabc019889796dc43f
x86用バイナリー
MD5 checksum: 1979e2fa15b0e2161d6e3fae4ff5fa92
680x0用バイナリー
MD5 checksum: 479dc49e7fe996bba35c1c2b94c155bd
PowerPC用バイナリー
MD5 checksum: 20d464d1d3f4322d393e825377d20cfe
Windows NTのバージョン3.5、3.51、4.0において、一般ユーザーが管理者権限を奪うことのできる問題が判明しました。これは、システムのDLLの取扱上、同一のDLLを2度読み込むことを防ぐ機構の問題で、管理者権限などで動くプログラムに不正なコードを実行させることができるものです。
これに対する対策として、Microsoftは以下のレジストリを設定することを推奨しています。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager:
名称: ProtectionMode
型: REG_DWORD
値: 1
Microsoft Security Bulletin MS99-006, Fix Available for Windows NT "KnownDLLs List" Vulnerability.
Microsoft Knowledge Base (KB) article Q218473 Restricting Changes to Base System Objects
この件に関して、Microsoftから上記のレジストリを元に戻して、新しいHotFixをあてるようにというアナウンスが出ました。
参照URL：
Microsoft Security Bulletin MS99-006, Fix Available for Windows NT "KnownDLLs List" Vulnerability.
Windows NT Workstation and Server 4.0(including Enterprise Edition)(x86):
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/NT40/hotfixes-postSP4/Smss-fix/Smssfixi.exe
Windows NT Server 4.0, Terminal Server Edition(x86):
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/NT40TSE/hotfixes-postSP3/Smss-fix/Smssfixi.exe
Windows NT Workstation and Server 4.0 (including Enterprise Edition and Terminal Server Edition)(Alpha):
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/NT40/hotfixes-postSP4/Smss-fix/Smssfixa.exe
Windows NT Server 4.0, Terminal Server Edition(Alpha):
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/NT40TSE/hotfixes-postSP3/Smss-fix/Smssfixa.exe
Linuxカーネル内のautofsモジュールにバッファオーバーランがあり、Denial of Serviceアタック及びroot権限の不正な取得の可能性があるようです。
具体的に影響を受けるのは Linux 2.0.36、Linux 2.1の全てのバージョン、Linux 2.2.0〜1のカーネルでautofsを使っている場合です。
なお、BugTraq Mailing Listで流れた2.2.1のfs/autofs/root.cに対する非公式なパッチは以下の通りです。
--- root.c.orig Thu Feb 18 20:26:23 1999
+++ root.c Thu Feb 18 20:26:17 1999
@@ -217,6 +217,11 @@
DPRINTK(("autofs_root_lookup: name = "));
autofs_say(dentry->d_name.name,dentry->d_name.len);
+ /* quick patch by balif@nacs.net 2-18-99 */
+ /* Prevents overflow of pkt.name in waitq.c:autofs_notify_daemon() */
+ if (dentry->d_name.len > 255)
+ return -ENAMETOOLONG;
+
if (!S_ISDIR(dir->i_mode))
return -ENOTDIR;
参照URL：Linux autofs overflow in 2.0.36+
ドメインコントローラのWindows NT 4.0マシンにService Pack 4を当てた場合に、LANMAN client(Windows for Workgroup 3.11以前)からパスワードを変更すると、以降他のWindows NTシステムからパスワードなしでログインできるという問題が発生しています。
SP4ユーザーは、次のHotFixを当てることが推奨されます。なお、例によって現状で日本語版に関しては不明です。
参照URL：
Microsoft Security Bulletin MS99-004, Patch Available for Authentication Processing Error in Windows NT 4.0 Service Pack 4(1998-02-08)
x86版HotFix
Alpha版HotFix
ネットワーク上のコンピュータの設定を集中管理するcfengineというツールに問題があり、シンボリックリンクを通じた攻撃ができる可能性があります。
この問題について、Debian GNU/Linux のパッケージが更新されています。
新しいパッケージは以下のところにあります。このパッケージを利用している人は新しいパッケージに入れ替えたほうがいいでしょう。
参照URL：
cfengine_1.4.9.orig.tar.gz(ソース)
MD5 checksum: 9c952524f2ce0a3dae6728f63d28a3ce
cfengine_1.4.9-3.diff.gz(ソース)
MD5 checksum: 9de13ab36791319a846f5d50248b8ed5
cfengine_1.4.9-3.dsc(ソース)
MD5 checksum: 6d5f1d2c10ec0a0eeef07dd73244bb44
x86用バイナリー
MD5 checksum: c935781e39141fdcc5b3e3e7a1b5ac7b
680x0用バイナリー
MD5 checksum: 8628802255c66796f8acd3fe1844bb0b
Microsoft BackOffice Server 4.0の、SQL ServerとExchange Server、Transaction Serverをインストールする際、これらのためのアカウントのパスワードを要求しますが、インストーラがこれらをテキストファイルに書き込み、インストールの成否に関係なくそれらを削除していないことが判明しました。
このファイルは、%SystemDrive%\Program Files\Microsoft Backoffice\Reboot.iniにおかれ、ネットワークでは共有されませんが、そのマシン上にアカウントがあるユーザは内容を見ることができます。
対策として、Microsoftでは管理者がこのファイルを削除することを勧めています。削除はインストールが終るごとに毎回行なう必要があります。
参照URL：Microsooft Security Bulletin (MS99-005) (1999-02-12)
SunOS 4.1.3_U1からSolaris 7までの、SunOS/Solarisの全てのバージョンで、rootがmanコマンドを利用した際に、任意のファイルを書き変えることが可能だという報告があります。
詳細は不明ですが、恐らくは「一般ユーザが罠を仕掛けて、rootがsuして作業をした際に、その罠を発現させる」ことを意味しているものと思われます。
これに対するパッチも既にリリースされています。
参照URL：各環境向けのパッチ
Solaris 2.4〜7のCDE環境に添付されている、カレンダーデータをOpenWindowsの物から変換するsdtcm_convertというツールにバッファオーバーランがあり、一般ユーザーがroot権限を奪うことが可能です。
問題となるバージョンは、Solaris 2.4, 2.5, 2.5.1, 2.6, 7、 Solaris for x86 2.4, 2.5, 2.5.1, 2.6, 7のCDEで、パッチがリリースされています。
参照URL：各環境向けのパッチ
Apache-SSLパッケージの作者であるBen Laurie氏の、偽造されたPGPの鍵が出回っているという情報があります。
BUGTRAQ Mailing Listに投稿された内容によれば、判明している贋の鍵の情報は次の通りです。
Key ID: 0x6B722A59
Fingerprint: 428C 1E68 35E1 E96C 177A F49C A906 3F1F 6B72 2A59
Name: Ben Laurie
Created: 09/10/98
Type: 2048/1024 DH/DSS
PGP Key signature: 3FD9 FA49 8B6D 6095 5BE3 AD83 677F 9E69
1999/02/07以前のNetBSDのnetstatコマンドに問題があり、一般ユーザーがカーネルメモリ空間の任意の箇所を読み出すことができます。
対策としては、NetBSD-currentの19990208以上のバージョンに更新するか、以下の箇所からパッチを入手してnetstatを再構築することになります。
また、これらの対策をすぐにとれない場合、netstatコマンドの一般ユーザーからの利用を制限することもできます。
chmod 555 /usr/bin/netstat
Microsoft Access 97で、パスワードつきのデータベースAに対して、別のデータベースBからリンクを作った場合に、データベースBにデータベースAのパスワードが平文で記録されるという問題が判明しています。
現時点で有効な対策は判明していません。とりあえず、パスワード保護されたデータベースに対して、外部から参照を作成する際には細心の注意を払う必要があります。
参照URL：Microsoft Access 97 Stores Database Password as Plaintext
セキュリティ関係のソフトウェアを開発するNetect社が、有名なFTPサーバーであるwu-ftpdや、Proftpdなどにバッファオーバーランがあるという警告を発表しました。
Red Hatからは、wu-ftpd用の対策パッチがリリースされています。
また、wu-ftpdのバージョンアップは最近とまっているらしく、独自の改良が加えられたVR版というバージョンが公開されています。VR版の最新バージョンである、wu-ftpd
2.4.2 (beta 18) VR13では、この問題は解決されているそうです。
参照URL：
Advisory: palmetto.ftpd
wu-ftpd VR版
Red Hat Linuxのパッチ配布ftpサイト
この問題はCERT Advisoryとして公開されました。
これによると、以下のftpdに問題があるということになっています。
ProFTPD: 現在のバージョン1.2.0pre1までの全てのバージョン
→新しいバージョンが出次第入れ替える。パッチを以下のCERT Advisoryに書いてあるところから落として当てる。
wu-ftpd: 現在のバージョン2.4.2(beta 18)までの全てのバージョン(問題の発現の有無はプラットフォームに依存)また、次のOSにも問題があることが判明しています。
→メンテされていないので次のVRシリーズに入れ替える。
wu-ftpd VR series: VR09までの全てのバージョン
→現在のバージョンである2.4.2(beta 18)VR13(1999-01-28)は安全。VR10で修正されている。
BeroFTPD: 1.2.0以前のバージョン
→1.2.0で修正され、現在のバージョン1.3.3(1999-02-07)は安全なので入れ換える。
NcFTPd: 2.3.4以前のバージョンでは「少なくとも」Linux libc5環境で発現する問題がある
→現在のバージョン2.4.0(1999-02-06)は安全。
RedHat Linux: version 5.2 及びそれ以前のバージョンSCO UnixWareなどについてはCERT Advisoryを参照してください。
Slackware Linux: 全て
Caldera OpenLinux: Latestバージョン
現状では原理が不明なものの、Netscape Communicator及びInternet Explorerで、あるサイトの対するcokkieのデータを、他のサイトの管理者が見ることができるバグがあることが判明しました。
これは、http://www.consumer.net/の管理者が、無関係なデータが記録されていることに気付いて発見されたもので、このバグに関するページで、その無関係なデータを公開しています。
現在、Netscape Communications社およびMicrosoft社で、このバグに関しては検証中ではあるものの、原因は不明のままだということです。
cookieには、最後のアクセスやパスワードなどの個人情報が保存される場合もあり、このバグはプライバシーと言う意味ではかなり重要だといえます。
現在できる対策としては、cookieはすべて無効にするか、せめて送信時には警告を出す設定にするしかないでしょう。
参照URL：
Possible Cookie Bug Detected by this Web Site
C|NETの記事
アメリカエネルギー省(DOE)のComputer Incident Advisory Capability(CIAC：コンピュータ事故調査顧問団)が、新しいWordのマクロウィルスを発見しました。
このウィルスは、W97M.Footprintと呼ばれており、Wordドキュメントのフッター部分を勝手に書き換えてしまうというもので、その結果フッター部分とそこにおかれたマクロが削除されてしまいます。
結果から見てもわかるとおり、このウィルスの影響はそれ程大きくはなく、マクロ利用者がそれほど多くないということと、Wordのマクロ検出機能による警告も出るため、それほど深刻なものではありません。
ただし、アンチウィルスソフトの定義ファイルが更新されるまでは検出が難しいといわれているため、感染自体には気をつける必要があるでしょう。Cドライブ内に「footprint.$$$」「footprint.$$1」というファイルがあると、感染している可能性が高いそうです。
対策としては、Wordのデフォルト設定を記憶するnormal.dotファイルのパスワード保護が有効だとされています。
参照URL：
C|NETの記事
W97M.Footprint Macro Virus Detected
Sendmail, Inc.は、1999/02/04にUnix上のメジャーなMTAであるsendmailの新バージョンをリリースしました。
新バージョンである8.9.3の変更点の中でセキュリティー関係のものは、メールヘッダに関するDenial of Serviceアタックの対策です。
もちろん、その他の細かいバグ修正も行われています。
参照URL：
バージョン8.9.2に関するページ
Sendmail, Inc.
Sendmail.org
sshの2.0.12がリリースされています。
port forwardingとexpireのバグが修正されているようです。
参照URL：SSH - Products - SSH Protocols - SSH protocols