-----BEGIN PGP SIGNED MESSAGE----- JPCERT-WR-2004-4601 JPCERT/CC 2004-11-25 <<< JPCERT/CC REPORT 2004-11-25 >>> これは JPCERT/CC が 11/14(日) から 11/20(土) の間に得たセキュリティ関 連情報のうち、重要と思われるものを抜粋してまとめたレポートです。 [1] Samba 3.0.x のバッファオーバーフローの脆弱性 US-CERT Vulnerability Note VU#457622 Samba QFILEPATHINFO handling routine contains a remotely exploitable buffer overflow http://www.kb.cert.org/vuls/id/457622 CIAC Bulletin P-038 Samba Vulnerabilities http://www.ciac.org/ciac/bulletins/p-038.shtml Samba バージョン 3.0.7 およびそれ以前の 3.0.x には、Unicode のファイル 名の処理にバッファオーバーフローの脆弱性があります。結果として、認証さ れたユーザ (匿名ユーザを含む) が遠隔から root 権限を取得する可能性があ ります。 この問題は、Samba をバージョン 3.0.8 (もしくはそれ以降) に更新する、ま たは使用している OS のベンダや配布元が提供する修正済みのパッケージに更 新することで解決します。 なお、日本時間 2004年11月24日(水) 時点での 3.0.x 系列の最新バージョン は 3.0.9 です。 関連文書 (日本語) JP Vendor Status Notes - CERT/CC - JVNVU#457622 Samba QFILEPATHINFO 処理にバッファオーバーフロー http://jvn.jp/cert/JVNVU%23457622.html Red Hat セキュリティアドバイス RHSA-2004:632-17 Updated samba packages fix security issues http://www.jp.redhat.com/support/errata/RHSA/RHSA-2004-632J.html [2] sudo の脆弱性 CIAC Bulletin P-037 Sudo Environment Cleaning Vulnerability http://www.ciac.org/ciac/bulletins/p-037.shtml sudo バージョン 1.6.8p1 およびそれ以前には、環境のクリア処理に脆弱性が あります。結果として、ローカルユーザが bash スクリプトを経由して root 権限を取得する可能性があります。 この問題は、sudo をバージョン 1.6.8p2 (またはそれ以降) に更新すること で解決するとの報告がありましたが、その後、この問題の一部が 1.6.8p2 に おいて未修正であったことが分かり、修正済みのバージョンとして 1.6.8p3 が公開されました。 なお日本時間 2004年11月24日(水) 時点での最新バージョンは 1.6.8p4 です。 関連文書 (英語) Bash scripts run via Sudo can be subverted http://www.sudo.ws/sudo/alerts/bash_functions.html Current Version of Sudo http://www.sudo.ws/sudo/current.html [3] TWiki の脆弱性 CIAC Bulletin P-039 TWiki "Search.pm" Shell Command Injection Vulnerability http://www.ciac.org/ciac/bulletins/p-039.shtml TWiki の検索機能には、入力された文字列に含まれるシェルのメタ文字を適切 に確認しない脆弱性があります。結果として、遠隔から第三者が Web サーバ プログラムを実行しているユーザの権限を取得する可能性があります。対象と なるのは以下のバージョンです。 - TWikiRelease01Sep2004 -- TWiki20040901.zip - TWikiRelease01Feb2003 -- TWiki20030201.zip - TWikiRelease01Dec2001 -- TWiki20011201.zip - TWikiRelease01Dec2000 -- TWiki20001201.zip - http://ntwiki.ethermage.net:8181/svn/twiki/trunk にあるサブバージョン (revision 3224 およびそれ以前。revision 3225 で修正済み) この問題は、開発元が提供するパッチを適用することで解決します。 関連文書 (英語) TWiki Security Alert TWiki search function allows arbitrary shell command execution http://twiki.org/cgi-bin/view/Codev/SecurityAlertExecuteCommandsWithSearch [4] Internet Week 2004 参加申込について Internet Week 2004 http://internetweek.jp/ 2004年11月30日(火) から 12月3日(金) にわたって、パシフィコ横浜会議セン ターで開催される Internet Week 2004 の事前参加申込受付を締め切りました。 事前申込をされていない方で、参加を希望される場合は、当日に会場 2階受付 にて申込手続きをお願いします。 参加申込についてのお問合せは iw2004@pac.ne.jp までお願いします。また、 Internet Week 2004 の運営全般についてのお問い合わせは iw2004-info@nic.ad.jp までお願いします。 [今週の一口メモ] * Web ブラウザの選択 Web ページや HTML ファイルなどを閲覧するためのソフトウェアである Web ブラウザには様々な種類が存在します。例えば代表的なものとして以下のよう なソフトウェアがあります。 - Microsoft Internet Explorer - Mozilla - Firefox - Opera - Safari - Lynx - w3m Web ブラウザの選択にあたっては、以下のような点に注意することが推奨され ます。 - 自分が使用している OS で動作するか? - 自分が必要とするセキュリティレベルを提供できるか? - 自分にとって使いやすいか? - 自分が必要とする機能を有しているか? プラグインで対応可能か? - 自分にとって視覚的な面などインタフェースが魅力的か? また Web ブラウザの中には、既存のブラウザを内部で使用し、インタフェー スだけを変えているものもあるという点に留意してください。このような Web ブラウザは、内部で使用しているブラウザの特性 (脆弱性など) による影響を そのまま受ける可能性があるので注意が必要です。 参考文献 (英語) US-CERT Cyber Security Tip ST04-022 Understanding Your Computer: Web Browsers http://www.us-cert.gov/cas/tips/ST04-022.html [JPCERT/CC からのお願い] 本レポートに関するお問い合わせは editor@jpcert.or.jp 宛にお願い致しま す。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものに ついてのご質問にはお答えできない場合もあります。またバックナンバーは、 以下の URL からご利用いただけます。 http://www.jpcert.or.jp/wr/ 本メーリングリストの購読申込や購読停止、また登録した電子メールアドレス の変更などにつきましては、以下の URL をご参照ください。 http://www.jpcert.or.jp/announce.html JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL をご参照ください。 http://www.jpcert.or.jp/form/ 以上。 __________ 2004 (C) JPCERT/CC -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBQaUnq4x1ay4slNTtAQH+KwQAxTKfwX1a1iFc4NoDlzhGFaeDC/RHrJkn vwdjN1zszN2etvP+3+CiI0ZQoAu3zuvsjbNOry4lw5YMq91I6pnw0Szzcq+SNxJW ZiHg/gCnTZj3pc/4W3t4rkvKU1YDCwz8ohNilceQJGMjBU6Z9WCnlzDgWk+3AlHC gRuktPELHho= =zzsH -----END PGP SIGNATURE-----