-----BEGIN PGP SIGNED MESSAGE----- Translations of CA-96.05.java_applet_security_mgr, (c) 1996,1997 by Carnegie Mellon University, with special permission from the Software Engineering Institute. Accuracy and interpretation of this translation are the responsibility of the Japan Computer Emergency Response Team/Coordination Center. The SEI has not participated in this translation. The CERT* Advisories and other CERT publications are available on the Internet (http://www.cert.org/ or ftp://info.cert.org/pub/). Readers may learn about the latest updates to these publications at these locations. *Registered in the U.S. Patent and Trademark Office. ============================================================================= CERT(*) Advisory CA-96.05 Original issue date: March 5, 1996 Last revised: September 24, 1997 Updated copyright statement A complete revision history is at the end of this file. Topic: Java Implementations Can Allow Connections to an Arbitrary Host - ----------------------------------------------------------------------------- ============================================================================= CERT(*) 勧告 CA-96.05 初版: 1996年3月5日 最終改訂: 1997年9月24日 著作権表示の部分を更新した。 完全な改訂履歴はこの勧告の最後に添付されている。 主題: Java の実装が原因で任意のホストが他へコネクションの確立を許す状態になる - ----------------------------------------------------------------------------- The CERT Coordination Center has received reports of a vulnerability in implementations of the Java Applet Security Manager. This vulnerability is present in the Netscape Navigator 2.0 Java implementation and in Release 1.0 of the Java Developer's Kit from Sun Microsystems, Inc. These implementations do not correctly implement the policy that an applet may connect only to the host from which the applet was loaded. CERT コーディネーションセンターは、Java Applet Security Manager の実装にセ キュリティ上の弱点があると報告を受けた。この弱点は、Netscape Navigator 2.0 の Java の実装と Sun Microsystems, Inc が提供する Java Developer's Kit のリ リース 1.0 に存在する。これらの実装では、applet をロードしてきたホストへの みコネクションの確立を許すポリシーを実現できていない。 The CERT Coordination Center recommends installing patches from the vendors, and using the workaround described in Section III until patches can be installed. CERT は、ベンダが配布するパッチをインストールすることを推奨するとともに、パッ チがインストールできるまで III 章で示す対策を講じることを推奨する。 We will update this advisory as we receive additional information. Please check advisory files regularly for updates that relate to your site. 新たな情報を得た場合は、この勧告を更新する。自分のサイトに関連した勧告の改 訂に備え、定期的に勧告を確認して頂きたい。 Although our CA-96.05 CERT advisory does not discuss JavaScript, there have been a series of recent postings to newsgroups concerning a vulnerability in the way Netscape Navigator (Version 2.0) supports JavaScript. CA-96.05 CERT 勧告は、JavaScript について議論するのではない。しかし、近ごろ ニュースグループに Netscape Navigator バージョン 2.0 の JavaScript の実装に セキュリティ上の弱点があるという一連の投稿があった。 As a clarification to our readers, this problem is different from the problem described in advisory CA-96.05. 念のために補足するが、この問題と勧告 CA-96.05 で述べる問題は異なるものであ る。 Netscape Version 2.01 is now available. This version addresses the Java Applet Security Manager and the JavaScript problems recently discussed. For additional information about these issues and to obtain the new release, please see: 現在、Netscape のバージョン 2.01 が利用可能である。このバージョンは Java Applet Security Manager と最近話題になった JavaScript の問題を解決している。 これらの問題に関する詳細な情報と新しいリリース情報を得るには、以下を参照の こと。 http://home.netscape.com/eng/mozilla/2.01/relnotes/ - ----------------------------------------------------------------------------- I. Description I. 解説 There is a serious security problem with the Netscape Navigator 2.0 Java implementation. The vulnerability is also present in the Java Developer's Kit 1.0 from Sun Microsystems, Inc. The restriction allowing an applet to connect only to the host from which it was loaded is not properly enforced. This vulnerability, combined with the subversion of the DNS system, allows an applet to open a connection to an arbitrary host on the Internet. Netscape Navigator 2.0 に付随する Java の実装には、深刻なセキュリティ ホールが存在する。Sun Microsystems, Inc が提供する Java Developer's Kit 1.0 にも同じセキュリティホールが存在する。Applet が接続可能なホス トは、それをロードしてきたホストのみであるが、これらの実装ではそのよう な制限がうまく働かない。このセキュリティ上の弱点と DNS システムのいく つかのバージョンが組合わせて用いられると、applet がインターネット上の 任意のホストへ接続できる状態になる。 In these Java implementations, the Applet Security Manager allows an applet to connect to any of the IP addresses associated with the name of the computer from which it came. This is a weaker policy than the stated policy and leads to the vulnerability described herein. これらの Java の実装では、Applet Security Manager は applet をロードし たコンピュータのホスト名に対応する IP アドレスがどのようなアドレスであっ たとしてもコネクションの確立を許してしまう。これは、定められたポリシー よりも弱く、その結果ここで述べるセキュリティ上の弱点を招いてしまう。 II. Impact II. 影響 Java applets can connect to arbitrary hosts on the Internet, including those presumed to be previously inaccessible, such as hosts behind a firewall. Bugs in any TCP/IP-based network service can then be exploited. In addition, services previously thought to be secure by virtue of their location behind a firewall can be attacked. ロードされた Java applet は、インターネット上の任意のホストへのコネク ションの確立が可能な状態になる。その中にはファイアウォールの背後にある ホストのように通常はアクセスが不可能となっているホストも含まれる。これ により、TCP/IP に基づいたネットワークサービスのさまざまなバグを攻撃す ることが可能である。加えて、ファイアウォールの背後にあるため安全である と考えられていたサービスが、攻撃にさらされる。 III. Solution III. 対策 To fix this problem, the Applet Security Manager must be more strict in deciding which hosts an applet is allowed to connect to. The Java system needs to take note of the actual IP address that the applet truly came from (getting that numerical address from the applet's packets as the applet is being loaded), and thereafter allow the applet to connect only to that same numerical address. この問題を解決するためには、applet が接続できるホストの決定を Applet Security Manager がもっと厳密に行わなければならない。Java のシステムは、 applet を実際にロードしてきた IP アドレスに注目する必要がある (applet をロードする際に applet を転送するパケットの IP アドレスの値を得る必要 がある)。 その後、applet がその IP アドレスだけにコネクションを確立で きるようにする必要がある。 We urge you to obtain vendor patches as they become available. Until you can install the patches that implement the more strict applet connection restrictions, you should apply the workarounds described in each section below. 利用可能になり次第ベンダからのパッチを入手することを要請する。applet のコネクション制限をより厳密に実現するパッチをインストールするまでは、 以下の節で述べる対策を講じるべきである。 A. Netscape users A. Netscape のユーザ For Netscape Navigator 2.0, use the following URL to learn more about the problem and how to download and install a patch: Netscape Navigator 2.0 については、問題の内容とパッチの入手およびイ ンストール方法を知るために以下の URL を参照すること。 http://home.netscape.com/newsref/std/java_security.html Until you install the patch, disable Java using the "Security Preferences" dialog box. このパッチをインストールするまでは、Security Preferences のダイアロ グで Java を使用不能にすること。 B. Sun users B. Sun ユーザ A patch for Sun's HotJava will be available soon. Sun の HotJava へのパッチが近日中に利用可能となる。 Until you can install the patch, disable applet downloading by selecting "Options" then "Security...". In the "Enter desired security mode" menu, select the "No access" option. パッチをインストールするまでは、メニューから "Options" の "Security..." を選び applet のダウンロードを使用不能にすること。 "Enter desired security mode" メニューで "No access" を選ぶとよい。 In addition, select the "Apply security mode to applet loading" to disable applet loading entirely, regardless of the source of the applet. 加えて、"Apply security mode to applet loading" を選び、いかなるホ ストからも applet をロードできないようにすること。 C. Both Netscape and Sun users C. Netscape と Sun ユーザ If you operate an HTTP proxy server, you could also disable applets by refusing to fetch Java ".class" files. HTTP の代理サーバを管理しているならば、Java の ".class" ファイルの 転送を拒否することで、 applet を使用不能にできる。 - --------------------------------------------------------------------------- The CERT Coordination Center thanks Drew Dean, Ed Felton, and Dan Wallach of Princeton University for providing information for this advisory. We thank Netscape Communications Corporation, especially Jeff Truehaft, and Sun Microsystems, Inc., especially Marianne Mueller, for their response to this problem. - --------------------------------------------------------------------------- - --------------------------------------------------------------------------- CERT コーディネーションセンターは、この勧告に関する情報を提供していただいた Princeton 大学の Drew Dean 氏と Ed Felton 氏、Dan Wallach 氏に感謝する。そ して、この問題に対応していただいた Netscape Communications Corporation 特に Jeff Truehaft 氏、Sun Microsystems, Inc. 特に Marianne Mueller 氏に感謝する。 - --------------------------------------------------------------------------- If you believe that your system has been compromised, contact the CERT Coordination Center or your representative in the Forum of Incident Response and Security Teams (FIRST). もし、自分のサイトのシステムが侵入されたと思ったときは、CERT コーディネーショ ンセンター、あるいは近くの FIRST (Forum of Incident Response and Security Teams) 加盟チームに連絡して欲しい。 We strongly urge you to encrypt any sensitive information you send by email. The CERT Coordination Center can support a shared DES key and PGP. Contact the CERT staff for more information. 電子メールで重要な情報を送るときは、暗号化することを強く要請する。CERT コー ディネーションセンターは、DES と PGP を使用できる。詳細は CERT スタッフに問 い合わせて欲しい。 Location of CERT PGP key CERT の PGP 公開鍵の入手場所 ftp://info.cert.org/pub/CERT_PGP.key CERT Contact Information - ------------------------ Email cert@cert.org Phone +1 412-268-7090 (24-hour hotline) CERT personnel answer 8:30-5:00 p.m. EST (GMT-5)/EDT(GMT-4), and are on call for emergencies during other hours. Fax +1 412-268-6989 Postal address CERT Coordination Center Software Engineering Institute Carnegie Mellon University Pittsburgh PA 15213-3890 USA CERT へのコンタクト方法 - ----------------------- 電子メール cert@cert.org 電話 +1 412-268-7090 (24-hour hotline) CERT personnel answer 8:30-5:00 p.m. EST (GMT-5)/EDT(GMT-4), and are on call for emergencies during other hours. ファックス +1 412-268-6989 住所 CERT Coordination Center Software Engineering Institute Carnegie Mellon University Pittsburgh PA 15213-3890 USA To be added to our mailing list for CERT advisories and bulletins, send your email address to CERT 勧告と公報を提供するメーリングリストを購読したい場合は、次のアドレスに 自分の電子メールアドレスを書いて送って欲しい。 cert-advisory-request@cert.org CERT publications, information about FIRST representatives, and other security-related information are available for anonymous FTP from CERT の発行文書、FIRST に関する情報、その他セキュリティに関する情報は、 anonymous FTP により以下から入手できる。 ftp://info.cert.org/pub/ CERT advisories and bulletins are also posted on the USENET newsgroup CERT 勧告と公報は、USENET の次のニュースグループにも投稿されている。 comp.security.announce - ------------------------------------------------------------------------------ Copyright 1996 Carnegie Mellon University. Conditions for use, disclaimers, and sponsorship information can be found in http://www.cert.org/legal_stuff.html and ftp://ftp.cert.org/pub/legal_stuff . If you do not have FTP or web access, send mail to cert@cert.org with "copyright" in the subject line. Copyright 1996 Carnegie Mellon University. 使用条件、免責事項、スポンサーと の契約に関する情報については、http://www.cert.org/legal_stuff.html あるいは ftp://ftp.cert.org/pub/legal_stuff から入手できる。もし、FTP や web による アクセスが不可能な場合は、cert@cert.org 宛にメールを送って欲しい。そのとき にはサブジェクト行に "copyright" と書くこと。 CERT is registered in the U.S. Patent and Trademark Office. CERT は合衆国特許商標庁に登録済みである。 ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Revision history Sep. 24, 1997 Updated copyright statement Aug. 30, 1996 Information previously in the README was inserted into the advisory. Mar. 15, 1996 Introduction - added clarification on JavaScript and pointers to Netscape Version 2.01. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 改訂履歴 1997年9月24日 著作権表示の部分を更新した。 1996年8月30日 以前 README に記載されていた情報がこの勧告に盛り込まれた。 1996年3月15日 序章 - JavaScript の問題との区別と Netscape バージョン 2.01 へのポインタを加筆した。 - ---------------------------------------------------------------------------- JPCERT/CC 改訂履歴 2000年8月25日 最新情報の URL の更新 1999年8月9日 ヘッダの誤字の修正。 フッタの更新。 1998年2月17日 初版 ====================== この文書の取扱に関する注意事項 ====================== この文書は、原著作権者から翻訳の許諾を受け、JPCERT/CC が独自に翻訳し た文書です。この翻訳文書を商業目的に使用することを禁止します。また JPCERT/CC の許諾なく再配布することを禁止します。 翻訳にあたっては、誤訳や誤解を生じるような表現をなくすように努力して おりますが、もし万が一不具合を見つけた場合には、JPCERT/CC にご連絡頂け れば幸いです。また、それ以外にも、この翻訳に関して質問等がある場合には、 JPCERT/CC にご連絡をお願い致します。連絡先は次の通りです。 info@jpcert.or.jp この翻訳文書は、随時更新される可能性がありますので、最新情報について は、次を参照してください。 http://www.jpcert.or.jp/tr/cert_advisories/ また翻訳文書の原文書も随時更新される可能性がありますので、そちらも参 照してください。翻訳文書と原文書のバージョンが異なる場合には、原文書が 最新情報です。 ===================== JPCERT/CC からのお知らせとお願い ===================== 本文書で解説した不正アクセスも含め、インターネット上で引き起こされる さまざまな不正アクセスに関する情報がありましたら、JPCERT/CC 所定の報告 様式にご記載のうえ、関連するログファイルのメッセージとともに、次のアド レスまでお送りください。 info@jpcert.or.jp 報告様式等、JPCERT/CC への連絡方法につきまして、詳しくは次の URL を ご参照下さい。 http://www.jpcert.or.jp/contact.html JPCERT/CC に頂いた報告は、報告者の了解なしに、そのまま他組織等に開示 することはありません。JPCERT/CC の組織概要につきましては、次の URL を ご参照ください。 http://www.jpcert.or.jp/ JPCERT/CC では、不正アクセスに関する情報を迅速にご提供するために、メー リングリストを開設しています。登録の方法等、詳しくは、次の URL をご参 照ください。 http://www.jpcert.or.jp/announce.html __________ 注: この文書は、不正アクセスに対する一般的な情報提供を目的としており、特定 の個人や組織に対する個別のコンサルティングが目的ではありません。そのため、 個別の問題に関するお問い合わせ等に必ずお答えできるとは限りません。また、お 答えできる場合でもご回答が遅れる可能性があります。 JPCERT/CC は、この文書に記載された情報の内容が正確であるよう努めていますが、 正確性を含め一切の品質についてこれを保証致しません。この文書に記載された情 報に基づいて、貴方あるいは貴組織がとられる行動、あるいはとられなかった行動 によって、直接的、間接的または偶発的に引き起こされた結果に対して、JPCERT/CC は何ら保証致しません。 -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia iQCVAwUBOaXnR4x1ay4slNTtAQHWvgP/SxistwRzJL7z65j1/cEsCN5BxWPVEv6u zcL6b6xBSZ7nQJ4mRoK0UgWhJ67GAZpwkFdANJaLZeG0Uj6MGluCaJbsBf2b7iLR LNttMoVv+7aoiP4q4t8zkM7Rw/hqMwy/xiZJkCs49IyBgYEdjNiHU6Iiq3r2dnMD TaY4KozW++Q= =gjuu -----END PGP SIGNATURE-----