Linux勧告ウォッチ - 2003年8月15日
今週は、ほとんどの読者にとって忙しい週だっただろう。Blasterはネットワーク上のほとんどすべてのWindowsユーザに影響を与えた。「うちは大丈夫」と横目で見ていたLinux管理者も数多くいただろうが、対処に追われた管理者も同じだけいたはずだ。 Windowsを管理する人にとっても、そうではない人にとっても、得られた教訓がいくつかある。まず、このニュースレターの読者ならもう十分おわかりのとおり、パッチは不可欠である。また、事故への備えは極めて重要である。週間スケジュールを立て、サーバの定期保守の時間を取る必要がある。また、事故発生時の対処手順を文書化する。システムの破損を最小限に抑えるために、緊急時の連絡先とシステムの手順を、事故が起こる前に文書化しておくことが大切である。
先週はO’Reillyの『Secure Coding: Principles & Practices』を紹介した。私はこの本についていくつかのEメールを受け取った。中には、『Secure Programming for Linux and Unix HOWTO』の著者David Wheelerからのメールもあった。私は以前にこの文書を読んだことがあり、非常に役に立つ情報だったので、みなさんにも紹介しようと思う。最新のPDFバージョンの文書は168ページで、12の章にわたって書かれている。GNU Free Documentation Licenseの下で配布されているため、コピーと配布は完全に合法である。これまでに、私は古いバージョンの文書をソフトウェア開発者である何人かの友人に送った。この文書を読んだ人はすべて感銘を受けている。
『Secure Programming for Linux and Unix HOWTO』には、入力検証、バッファ・オーバーフローの回避、システム・リソースの利用についての章に加え、パスワード、乱数、暗号化、認証などの特別な章が含まれている。また、C/C++、PERL、python、shell、Ada、Java、Tcl、PHPなど、人気の高い言語固有の情報を記載した章もある。
これも価値ある文書だ。さっそくダウンロードしよう！ 数多くの具体的な問題に焦点を当てているため、先週紹介した本に加えて必読の優れた文書だ。プログラムのセキュリティ保護に関して問題を抱えている人は、まずチェックすべき文書である。
では、また来週。
Benjamin D. Thomas
Linuxセキュリティに関するその他の記事：
Expert vs. Expertise: Computer Forensics and the Alternative OS─コンピュータ犯罪調査はもう暗く不可解なプロセスではなく、明るみに出てから既に5年以上経つ。それにも関わらず、注目を浴びるようになったのはごく最近である。
REVIEW: Linux Security Cookbook─実世界の問題に対する単純な解決策というものはめったにない。セキュリティの分野では特にそうである。『Linux Security Cookbook』は、こうした実世界の問題を解決するのに役立つ必須ツールである。本書は、ベテランのシステム管理者から、セキュリティに興味のあるホームユーザに至るまで、あらゆる人に当てはまる状況を網羅しており、自ら述べているように、セキュリティを重視する人にとっては必読の参考書である。
[ Linux Advisory Watch ] – [ Linux Security Week ] – [ PacketStorm Archive ] – [ Linux Security Documentation ]
Linux勧告ウォッチは、今週中に公開されたセキュリティ上の弱点について説明する包括的なニュースレターである。アップグレード用パッケージへのリンクと、それぞれの弱点の説明を記載している。 [ 購読 ]
| 配布元： | Conectiva | |||
| 2003/8/11 | lynx | |||
| CRLF挿入の弱点 Ulf Harnhammarは、lynxのCRLF挿入の弱点を報告した。 http://www.linuxsecurity.com/advisories/connectiva_advisory-3552.html |
||||
| 配布元： | Debian | |||
| 2003/8/8 | ‘man-db’の弱点 | |||
| バッファ・オーバーフローの弱点 以前のman-dbアップデート（DSA-364-1）にはエラーがあり、これによって毎日のcronジョブの一部として実行される”mandb”コマンドにsegmentation faultが発生していた。このエラーは、データを書き込むために必要なサイズよりも、1バイト少ないメモリ領域が割り当てられることによって発生していた。 http://www.linuxsecurity.com/advisories/debian_advisory-3542.html |
||||
| 2003/8/8 | ‘xtokkaetama’のバッファ・オーバーフロー | |||
| バッファ・オーバーフローの弱点 “-nickname”コマンド・ライン・オプションに関係して、xtokkaetamaにまたバッファ・オーバーフローが見つかった。ローカルの攻撃者がこの弱点を利用して、gid ‘games’を得る可能性がある。 http://www.linuxsecurity.com/advisories/debian_advisory-3543.html |
||||
| 2003/8/8 | ‘xpcd’のバッファ・オーバーフロー | |||
| CRLF挿入の弱点 Steve Kempは、xpcd-svgaにバッファ・オーバーフローを発見した。これは長いHOME環境変数によって発生する可能性がある。ローカルの攻撃者がこの弱点を利用して、ルート特権を得る可能性がある。 http://www.linuxsecurity.com/advisories/debian_advisory-3544.html |
||||
| 2003/8/11 | zblast | |||
| バッファ・オーバーフローの弱点 Steve Kempは、zblast-svgalibにバッファ・オーバーフローを発見した。これは、ハイ・スコアのファイルを保存する際に発生する可能性がある。 http://www.linuxsecurity.com/advisories/debian_advisory-3545.html |
||||
| 2003/8/11 | pam-pgsql書式文字列の弱点 | |||
| 書式文字列の弱点 pam-pgsqlで、認証に使われるユーザ名が、ログ・メッセージを作成する際に書式文字列として使われるという弱点が見つかった。 http://www.linuxsecurity.com/advisories/debian_advisory-3546.html |
||||
| 8/9/2003 | kdelibs-cryptoの複数の弱点 | |||
| 複数の弱点 kdelibsにいくつかの弱点が見つかった。 http://www.linuxsecurity.com/advisories/debian_advisory-3547.html |
||||
| 2003/8/11 | perl | |||
| CGI.pm XSSの弱点 CGI.pmのstart_form()関数にクロス・サイト・スクリプティングの弱点が見つかった。 http://www.linuxsecurity.com/advisories/debian_advisory-3553.html |
||||
| 2003/8/14 | kernel | |||
| oops 以前のkernelアップデートを修正する勧告が公開された。以前のアップデートには、kernel-source-2.4.18バージョン2.4.18-10に関するエラーが含まれていた。 http://www.linuxsecurity.com/advisories/debian_advisory-3554.html |
||||
| 配布元： | FreeBSD | |||
| 2003/8/11 | signal | |||
| カーネルの弱点 シグナルを送信するための一部のメカニズムが、シグナル番号を正しく検証しないため、カーネルが負または範囲外のシグナル番号を送信しようとすることがあった。 http://www.linuxsecurity.com/advisories/freebsd_advisory-3548.html |
||||
| 2003/8/11 | iBCS2 | |||
| カーネルの弱点 statfsのiBCS2システム・コール・トランスレータがカーネルのデータ構造をユーザランドにコピーする際の、ユーザが指定したlengthパラメータの処理方法に間違いがあった。lengthパラメータが必要以上に長い場合には、statfs関連のデータ構造だけがコピーされるのではなく、追加のカーネル・メモリをユーザが利用できるようになる。 http://www.linuxsecurity.com/advisories/freebsd_advisory-3549.html |
||||
| 2003/8/12 | kernel | |||
| シグナルの弱点 シグナルを送信するための一部のメカニズムが、シグナル番号を正しく検証しないため、カーネルが負または範囲外のシグナル番号を送信しようとすることがあった。 http://www.linuxsecurity.com/advisories/freebsd_advisory-3555.html |
||||
| 配布元： | Gentoo | |||
| 2003/8/14 | 複数の弱点 | |||
| 複数の弱点 Gentoo Linuxソース・ツリーに複数の弱点が見つかった。 http://www.linuxsecurity.com/advisories/gentoo_advisory-3556.html |
||||
| 配布元： | Red Hat | |||
| 2003/8/8 | ‘up2date’ gpgシグネチャの検証の弱点 | |||
| 誤った検証 up2dateバージョン3.0.7および3.1.23のRPM GPGシグネチャ検証の方法が正しくない。これらのバージョンはRed Hat Linux 8.0および9で使われている。 http://www.linuxsecurity.com/advisories/redhat_advisory-3539.html |
||||
| 2003/8/11 | ddskk | |||
| 一時ファイルの弱点 ddskkは、一時ファイルを作成する際に、適切なセキュリティ措置を取らない。 http://www.linuxsecurity.com/advisories/redhat_advisory-3550.html |
||||
| 2003/8/11 | konqueror | |||
| 情報露見の弱点 konquerorは、意図したのとは異なるWebサイトに間違って認証資格情報を送ることがある。情報はHTTP-refererヘッダーを通してクリア・テキストで送られる。 http://www.linuxsecurity.com/advisories/redhat_advisory-3551.html |
||||
| 配布元： | SuSe | |||
| 2003/8/12 | kernel | |||
| 複数の弱点 kernelに複数の弱点が見つかった。 http://www.linuxsecurity.com/advisories/suse_advisory-3557.html |
||||
| 配布元： | Trustix | |||
| 2003/8/8 | ‘stunnel’ DoSの弱点 | |||
| DoSの脆弱性 3.25および4.04よりも前のStunnelのSIGCHILD処理コードにエラーがあり、子プロセスが早く終了された場合に、Denial of Service攻撃につながる可能性がある。 http://www.linuxsecurity.com/advisories/trustix_advisory-3540.html |
||||
| 2003/8/8 | ‘postfix’ DoSの弱点 | |||
| DoSの脆弱性 Postfix smtpd、qmgr、およびtrivial-rewriteサービスを利用するその他のプログラムで発生するDenial of Service状態を修正するパッチが公開された。この問題は、無効なアドレスが不可能な結果に解決されたときに発生する。これによって、影響を受けるプログラムが結果を拒否し、trivial-rewrite要求を無限に再試行する。 http://www.linuxsecurity.com/advisories/trustix_advisory-3541.html |
||||
| 配布元： | TurboLinux | |||
| 2003/8/13 | php | |||
| XSSの弱点 攻撃者はこの弱点を利用して、生成されるページのコンテキストで埋め込まれたスクリプトを実行する可能性がある。 http://www.linuxsecurity.com/advisories/turbolinux_advisory-3558.html |
||||