-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2004-2901 JPCERT/CC 2004-07-28 <<< JPCERT/CC REPORT 2004-07-28 >>> これは JPCERT/CC が 7/18(日) から 7/24(土) の間に得たセキュリティ関連 情報のうち、重要と思われるものを抜粋してまとめたレポートです。 [1] PHP に含まれる複数の脆弱性 CIAC Bulletin O-184 PHP memory_limit and strip_tags Vulnerabilities http://www.ciac.org/ciac/bulletins/o-184.shtml PHP には、メモリ制限の扱いに脆弱性があります。また HTML タグ名にヌル文 字 '\0' が含まれている場合に適切にタグを処理できない脆弱性があります。 結果として、遠隔から第三者が Web サーバを実行しているユーザの権限を取 得したり、クロスサイトスクリプティング攻撃を行なったりする可能性があり ます。対象となるのは以下のバージョンの PHP です。 - PHP 4.3.7 およびそれ以前の 4.x - PHP 5.0.0RC3 およびそれ以前の 5.x この問題は、PHP をバージョン 4.3.8 (もしくはそれ以降) または 5.0.0 (も しくはそれ以降) に更新することで解決します。また、使用している OS のベ ンダや配布元が提供する修正済みのパッケージに更新することでも解決します。 関連文書 (日本語) Red Hat セキュリティアドバイス RHSA-2004:392-13 Updated php packages fix security issues http://www.jp.redhat.com/support/errata/RHSA/RHSA-2004-392J.html Red Hat セキュリティアドバイス RHSA-2004:395-10 Updated php packages fix security issues http://www.jp.redhat.com/support/errata/RHSA/RHSA-2004-395J.html Miracle Linux アップデート情報 PHP セキュリティ 2004年7月21日 PHP のリモートから任意のコードを実行できる脆弱性を修正 http://www.miraclelinux.com/support/update/data/php.html 関連文書 (英語) PHP: Hypertext Preprocessor http://www.php.net/ Debian Security Advisory DSA-531-1 php4 -- several vulnerabilities http://www.debian.org/security/2004/dsa-531.en.html [2] Linux カーネルの chown システムコールに含まれる脆弱性 CIAC Bulletin O-187 'chown(2)' System Call Vulnerability http://www.ciac.org/ciac/bulletins/o-187.shtml Linux カーネルの chown システムコールには、認証なしにファイルのグルー プ ID を変更できてしまう脆弱性があります。結果として、ローカルユーザが root 権限を取得する可能性があります。なお、Linux カーネル 2.4.x ではカー ネル NFS サーバが有効になっている場合にのみ、この問題が発生します。一 方、Linux カーネル 2.6.x では常にこの問題が存在することが報告されてい ます。 この問題は、使用している OS のベンダや配布元が提供する修正済みのカーネ ルに更新することで解決します。 関連文書 (日本語) Red Hat セキュリティアドバイス RHSA-2004:360-05 Updated kernel packages fix security vulnerabilities http://www.jp.redhat.com/support/errata/RHSA/RHSA-2004-360J.html [3] Sun Java System Web Server に含まれるクロスサイトスクリプティングの脆弱性 CIAC Bulletin O-185 Sun Java System Web Server Cross-site Scripting Vulnerability http://www.ciac.org/ciac/bulletins/o-185.shtml Sun Java System Web Server 6.1 および 6.1 サービスパック1 には、クロス サイトスクリプティングの脆弱性があります。結果として、アクセスしてきた Web ブラウザを実行しているユーザの権限を第三者が取得する可能性がありま す。 この問題は、Sun Java System Web Server を 6.1 サービスパック2 (または それ以降) に更新することで解決します。 関連文書 (英語) # 57605, Free Sun Alert Notifications Vulnerability In Sample Application Included With Sun Java System Web Server http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/57605 [今週の一口メモ] * 時刻合わせ ホストの時刻情報が不正確では、ログ等からインシデント発生に関わる事実関 係を確認することが困難になります。そこで NTP (Network Time Protocol) を使って時刻を正確に合わせることが推奨されます。 なお、インターネット接続プロバイダ (ISP) によっては、顧客に対して NTP サービスを提供している場合があります。利用している ISP が NTP サービス を提供しているか否かを確認してみることをお勧めします。 参考文献 (日本語) 独立行政法人 情報通信研究機構 日本標準時グループ http://jjy.nict.go.jp/ 参考文献 (英語) ntp.org: Home of the Network Time Protocol http://www.ntp.org/ OpenNTPD http://www.openntpd.org/ [JPCERT/CC からのお願い] 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2004 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBQQcBsYx1ay4slNTtAQGnvwQAyo8PMq0jmpZsZQM+r7sJCziYzGqmuHtQ 1CnxHSLGRSFF2F6TdPD675s7KujjbaMZuH/uze7j36JhUcjFur/7doUTcsCGG0LO UfyfTxDHFxYQ/6UURSe8c/JDIAC8BjkcFlMGL4d9HQG0cwdXJRA9aAqNfw001asm KsWOVtmeLjA= =NHhl -----END PGP SIGNATURE-----