Linux勧告ウォッチ - 2005年10月14日（金）

今週は、mason、cpio、dia、masqmail、shorewall、tcpdump、openvpn、up-imapproxy、ethereal、weex、py2play、graphviz、xloadimage、xli、xine-lib、hylafax、Ruby、SVG、hexlix player、uw-imap、openssl、thunderbird、binutils、libuserに関する勧告が公開された。配布元には、Debian、Gentoo、Red Hatが含まれる。

システムアカウンティング
著者：Dave Wreski

syslogの情報に侵入されないようにすることは非常に重要だ。まずは、/var/log内のファイルを読み書きできるユーザを限定する必要がある。

それらに何が書き込まれるかにはよく注意しなければならない。特にauthファシリティに気をつける必要がある。たとえば、ログイン失敗が複数発生していたら、侵入が試みられている印かもしれない。

調べるログファイルの場所は、ディストリビューションによって異なる。Red Hatなど、”Linuxファイルシステム標準”に準拠しているLinuxシステムでは、/var/logで、メッセージやmail.log、その他を調べる。

使用しているディストリビューションにおけるログの場所は、/etc/syslog.confファイルを見るとわかる。このファイルは、さまざまなメッセージをどこに記録するかをsyslogd（システムロギングデーモン）に指示している。

ログローテイト・スクリプトまたはデーモンを設定して、ログを長時間保管できるようにすれば、調べる時間を確保できる。最新のRed Hatディストリビューションのログローテイト・パッケージを見てみるとよい。他のディストリビューションにもだいたい同様のプロセスがある。

ログファイルが不正に書き換えられていた場合は、いつその改ざんが始まり、どんな内容が改ざんされたか、手がかりを探す。長時間の不審な期間がないだろうか？バックアップテープがあれば、そこで改ざんされていないログファイルを見てみるのもよい。

一般に、侵入者は侵入の痕跡を隠すためにログファイルを改ざんするが、それでも不審な部分を探せば見つけられる。侵入者が入り口を見つけようとしたり、ルートアカウント取得のためにプログラムを悪用しようとしたりした痕跡を探し出せる。侵入者がログを書き換えるより先に、ログエントリをチェックできる場合もある。

suを使用したユーザ切り替え、ログイン試行、その他のユーザアカウント情報が含まれるauthファシリティを、他のログデータから分離しておくことも必要だ。

可能な場合には、最も重要なデータのコピーを安全なシステムに送信するようにsyslogを設定しておくとよい。そうすれば、侵入者が自分の行ったlogin、su、ftpなどの記録を消し、痕跡を隠そうとするのを防ぐことができる。詳しくはsyslog.confのmanページで@オプションの説明を参照のこと。

最後に、ログファイルは誰もそれを読まなければほとんど無意味だ。定期的にログファイルを確認し、正常時にはどのようになっているかを把握しておくとよい。それがわかっていると、普段と違うことがあれば目に付くようになる。

出典「Linux Security Howto」：
http://www.linuxsecurity.com/docs/LDP/Security-HOWTO/

	Debian
	Debian：masonパッケージの初期化スクリプト欠如の修正
	2005年10月6日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120537

	Debian：cpioパッケージの複数の弱点の修正
	2005年10月7日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120548

	Debian：diaパッケージの任意のコード実行に対する修正
	2005年10月8日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120550

	Debian：masqmailパッケージの複数の弱点の修正
	2005年10月8日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120551

	Debian：shorewallパッケージのファイアウォール回避の修正
	2005年10月8日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120552

	Debian：tcpdumpパッケージのDenial of Serviceの修正
	2005年10月9日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120555

	Debian：openvpnパッケージのDenial of Serviceの修正
	2005年10月9日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120556

	Debian：up-imapproxyパッケージの任意のコード実行に対する修正
	2005年10月9日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120557

	Debian：etherealパッケージの複数の弱点の修正
	2005年10月9日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120558

	Debian：tcpdumpパッケージのDenial of Serviceの修正
	2005年10月9日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120559

	Debian：weexパッケージの任意のコード実行に対する修正
	2005年10月10日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120561

	Debian：py2playパッケージの任意のコード実行に対する修正
	2005年10月10日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120562

	Debian：graphvizパッケージの安全でない一時ファイルの修正
	2005年10月10日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120563

	Debian：xloadimageパッケージの任意のコード実行に対する修正
	2005年10月10日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120568

	Debian：xliパッケージの任意のコード実行に対する修正
	2005年10月10日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120570

	Debian：Rubyパッケージの安全性迂回の修正
	2005年10月11日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120571

	Debian：uw-imapパッケージの任意のコード実行に対する修正
	2005年10月11日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120572

	Debian：Ruby 1.6パッケージの安全性迂回の修正
	2005年10月11日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120573

	Debian：xine-libパッケージの任意のコード実行に対する修正
	2005年10月12日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120583

	Debian：Ruby 1.8パッケージの安全性迂回の修正
	2005年10月13日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120589

	Debian：hylafaxパッケージの安全でない一時ファイルの修正
	2005年10月13日パッケージが更新された。 http://www.linuxsecurity.com/content/view/120590

	Gentoo
	Gentoo：Rubyのセキュリティ迂回の弱点
	2005年10月6日 Rubyに、安全性レベルメカニズムのセキュリティ迂回の弱点がある。 http://www.linuxsecurity.com/content/view/120539

	Gentoo：DiaのSVGインポートを介した任意のコードの実行
	2005年10月6日 Diaの不適切にサニタイズされたデータにより、リモートの攻撃者が任意のコードを実行できる。 http://www.linuxsecurity.com/content/view/120540

	Gentoo：RealPlayerとHelix Playerのフォーマット文字列の弱点
	2005年10月7日 RealPlayerとHelix Playerにフォーマット文字列の弱点があり、任意のコードの実行につながる。 http://www.linuxsecurity.com/content/view/120549

	Gentoo：xine-libのフォーマット文字列の弱点
	2005年10月8日 xine-libのCDDB応答処理にフォーマット文字列エラーがあり、任意のコードの実行に悪用される可能性がある。 http://www.linuxsecurity.com/content/view/120553

	Gentoo：Weexのフォーマット文字列の弱点
	2005年10月8日 Weexにフォーマット文字列エラーがあり、悪意のあるサーバによって任意のコードの実行に悪用される可能性がある。 http://www.linuxsecurity.com/content/view/120554

	Gentoo：uw-imapのリモート・バッファ・オーバーフロー
	2005年10月11日 uw-imapのIMAPサーバにリモート・バッファ・オーバーフローの弱点があり、任意のコードの実行につながる。 http://www.linuxsecurity.com/content/view/120575

	Gentoo：OpenSSL SSL 2.0プロトコル・ロールバック
	2005年10月12日特定のオプションを使用すると、OpenSSLが安全性の低いSSL 2.0プロトコルに戻される可能性がある。 http://www.linuxsecurity.com/content/view/120586

	Red Hat
	RedHat：重要：thunderbirdのセキュリティ更新
	2005年10月6日 Red Hat Enterprise Linux 4用の最新のthunderbirdパッケージが公開された。このパッケージでは、さまざまなバグが修正されている。Red Hatセキュリティ・レスポンス・チームの評価では、この更新のセキュリティ重要度は重要となっている。 http://www.linuxsecurity.com/content/view/120541

	RedHat：低：binutilsのセキュリティ更新
	2005年10月11日小さなセキュリティ問題を修正した最新のbinutilsパッケージが公開された。Red Hatセキュリティ・レスポンス・チームの評価では、この更新のセキュリティ重要度は低となっている。 http://www.linuxsecurity.com/content/view/120578

	RedHat：低：libuserのセキュリティ更新
	2005年10月11日さまざまなセキュリティ問題を修正した新しいlibuserパッケージが公開された。Red Hatセキュリティ・レスポンス・チームの評価では、この更新のセキュリティ重要度は低となっている。 http://www.linuxsecurity.com/content/view/120579

	RedHat：中：util-linuxとmountのセキュリティ更新
	2005年10月11日 util-linuxとmountの最新のパッケージが公開された。これらのパッケージでは、2つのセキュリティ問題が修正されている。Red Hatセキュリティ・レスポンス・チームの評価では、この更新のセキュリティ重要度は中となっている。 http://www.linuxsecurity.com/content/view/120580

	RedHat：中：rubyのセキュリティ更新
	2005年10月11日任意のコマンド実行の問題を修正した新しいrubyパッケージが公開された。Red Hatセキュリティ・レスポンス・チームの評価では、この更新のセキュリティ重要度は中となっている。 http://www.linuxsecurity.com/content/view/120581

	RedHat：中：opensslのセキュリティ更新
	2005年10月11日さまざまなセキュリティ問題を修正した新しいOpenSSLパッケージが公開された。Red Hatセキュリティ・レスポンス・チームの評価では、この更新のセキュリティ重要度は中となっている。 http://www.linuxsecurity.com/content/view/120582

原文