Linux勧告ウォッチ - 2003年7月11日
7月も半ばなので、「バケーション」に入る読者も多いだろう。通常、仕事を離れるときには、さまざまな準備が必要だ。システム管理者は、すべてのシステムにすべてのパッチを適用し、システムを最新の状態にし、バックアップと復元が正しく機能することを確認し、小さな問題ならば自分の留守中にでも解決できるように他のユーザに適切なアクセス権を与える。たとえば、上級管理者が後輩の管理者にすべての権利、またはサーバのルートパスワードを与える。
次に、うぬぼれの強い上級管理者は（ほとんどはそうだ）、自分に来た電子メールに対して自動返信メッセージを用意しなければならないと考えるだろう。この上級管理者はとても向学心が強く、セキュリティに関する30以上のメーリングリストを購読している。この管理者は金曜日は半休を取ったので、同じドメインから送られてきた電子メールだけに自動応答するように設定する時間がなかった。この管理者のアカウントは、受け取ったすべての電子メールに応答するように設定された。土曜日の昼頃までに、この自動応答「機能」によって、100通以上の電子メールが発信される。返信先は主に偽のスパムアドレスだが、中には割りと盛んなメーリングリストもいくつかあった。何が起こったかはもうわかるだろう。世界中の人々が、「私は今フロリダに旅行中です。後輩管理者のRyan Typesalotに連絡してください。」というメッセージを受け取る。さて、月曜の朝が来た。Ryanは管理者の席に落ち着いている。この会社を攻撃する絶好のタイミングを狙っていた「仕事熱心なシステムエンジニア」からの電話を受ける。次に何が起こる？ この「仕事熱心なシステムエンジニア」は、上級管理者はこれから2週間会社を空けること、そしてRyan Typesalotが問題を解決しようと張り切っていることを知っている。ここから攻撃が始まる。もうわかっただろう。Ryanは電話の向こう側にいる相手が、外出中に自分のネットワークホームディレクトリにアクセスしていくつかのパスワードをリセットする必要が生じた社員だと信じきっている。
この話から得られる教訓は何だろう？ それは、必要以上の情報を与えるな、ということだ。休暇に入ることは、最小限の人にだけ知らせればよい。自動返信が必要であれば、社内だけにすべきだ。このようなことは既にわかっていて、自動応答を使用する際には細心の注意を払っている人も多いだろう。しかし私は、このニュースレターを送るたびに、非常に多くの自動返信メッセージを受け取る。自動応答をまったく使うなとは言わない。このような「機能」は注意して使わなければならない、ということだ。
では、また来週。
Benjamin D. Thomas
Linuxセキュリティに関するその他の記事：
Real-Time Alerting with Snort─リアルタイム警報は、許容可能な時間内に事象について担当者に通知する機能で、IDSまたはその他のモニタリング・アプリケーションに組み込まれている。許容可能な時間がどの程度であるかは、人によってさまざまである。
| 配布元： | Conectiva | ||
| 2003/7/7 | xpdf | ||
| 任意のコマンドの実行 弱点を修正するアップデートが公開された。攻撃者はこの弱点を利用して、文書のハイパーリンクにコマンドを埋め込む可能性がある。 http://www.linuxsecurity.com/advisories/connectiva_advisory-3430.html | |||
| 2003/7/7 | ml85p | ||
| 危険な一時ファイルの弱点
これはルートにセットUIDした状態でインストールされるプログラムで、危険な方法で一時ファイルが作成される。このため、競合状態攻撃に弱い。 http://www.linuxsecurity.com/advisories/connectiva_advisory-3431.html | |||
| 2003/7/7 | openldap | ||
| Denial of Serviceの弱点
back-ldbmバックエンドを使用している場合に、パスワード拡張操作（パスワードEXOP）が失敗すると、openldapは割り当てられていないメモリを解放しようとするため、segfaultにつながる。 http://www.linuxsecurity.com/advisories/connectiva_advisory-3432.html | |||
| 2003/7/8 | imp | ||
| SQLコード挿入の弱点
リモートの攻撃者は、この弱点を利用してSQLコマンドを実行し、セッションIDを取得し、他のユーザのwebmailセッションを盗む可能性がある。 http://www.linuxsecurity.com/advisories/connectiva_advisory-3439.html | |||
| 2003/7/10 | PHP4 | ||
| 複数の弱点
phpに複数の弱点が見つかった。 http://www.linuxsecurity.com/advisories/connectiva_advisory-3440.html | |||
| 配布元： | Debian | ||
| 2003/7/7 | semiとwemiの危険な一時ファイルの弱点 | ||
| 危険な一時ファイルの弱点
管理上の問題が重なり、この勧告は「DSA-337-1」という間違った識別子で公開された。正しくは、「DSA-337-1」はgtkseeに関する以前の勧告を示す。 http://www.linuxsecurity.com/advisories/debian_advisory-3435.html | |||
| 2003/7/7 | x-face-elの危険な一時ファイルの弱点 | ||
| 危険な一時ファイルの弱点
管理上の問題が重なり、この勧告は「DSA-338-1」という間違った識別子で公開された。正しくは、「DSA-338-1」はproftpdに関する以前の勧告を示す。 http://www.linuxsecurity.com/advisories/debian_advisory-3436.html | |||
| 2003/7/7 | liece | ||
| 危険な一時ファイルの弱点
lieceは、一時ファイルを作成する際に、適切なセキュリティ措置を取らない。 http://www.linuxsecurity.com/advisories/debian_advisory-3437.html | |||
| 2003/7/7 | mozart | ||
| 危険なmailcap構成
Ozアプリケーションがファイル内容をOzインタープリタに渡して実行することを指定するためのMIME設定が含まれており、ファイルマネージャ、ブラウザなどのmailcap設定を参照するプログラムが、信頼できない場所からダウンロードされたOzプログラムを自動的に実行してしまう可能性がある。 http://www.linuxsecurity.com/advisories/debian_advisory-3438.html | |||
| 2003/7/10 | skk | ||
| 危険な一時ファイルの弱点
skkは、一時ファイルを作成する際に、適切なセキュリティ措置を取らない。 http://www.linuxsecurity.com/advisories/debian_advisory-3441.html | |||
| 2003/7/10 | unzip | ||
| ディレクトリ走査の弱点
UnZip 5.50にディレクトリ走査の弱点がある。攻撃者は無効な文字を2つの「.」文字の間に挿入することによって、相対パス名（../）のチェックを回避する可能性がある。 http://www.linuxsecurity.com/advisories/debian_advisory-3442.html | |||
| 2003/7/10 | xbl | ||
| バッファ・オーバーフローの弱点
xblに新しいバッファ・オーバーフローが見つかった。これはDSA-327（CAN-2003-0451）のものとは異なり、-displayコマンド・ライン・オプションが関係する。 http://www.linuxsecurity.com/advisories/debian_advisory-3443.html | |||
| 2003/7/10 | phpsysinfo | ||
| ディレクトリ走査の弱点
2つの弱点があり、攻撃者がWebサーバのプロセス権限でローカルのファイルを読み出したり、任意のPHPコードを実行したりする可能性がある。 http://www.linuxsecurity.com/advisories/debian_advisory-3444.html | |||
| 2003/7/10 | teapop | ||
| SQL挿入の弱点
PostgreSQLおよびMySQLデータベースにアクセスするためのモジュールで、SQLクエリを実行する前に、ユーザから与えられた文字列の適切なエスケープがされていなかった。 http://www.linuxsecurity.com/advisories/debian_advisory-3445.html | |||
| 配布元： | Mandrake | ||
| 2003/7/8 | unzip | ||
| ディレクトリ走査の弱点
UnZip 5.50にディレクトリ走査の弱点がある。攻撃者は無効な文字を2つの「.」 文字の間に挿入することによって、相対パス名（../）のチェックを回避する 可能性がある。 http://www.linuxsecurity.com/advisories/mandrake_advisory-3446.html | |||
| 配布元： | TurboLinux | ||
| 2003/7/9 | unzip | ||
| ディレクトリ走査の弱点
特定のエンコード文字を「../」ディレクトリ走査シーケンスに挿入すると、アーカイブの作成者は、ファイルをファイルシステム上の任意の位置に取り出すことができる。これには、システムバイナリやその他の機密情報を含む位置も含まれる。 http://www.linuxsecurity.com/advisories/turbolinux_advisory-3447.html | |||