-----BEGIN PGP SIGNED MESSAGE----- Translations of CA-99-07 IIS Buffer Overflow, (c) 1999 by Carnegie Mellon University, with special permission from the Software Engineering Institute. Accuracy and interpretation of this translation are the responsibility of the Japan Computer Emergency Response Team/Coordination Center. The SEI has not participated in this translation. The CERT* Advisories and other CERT publications are available on the Internet (http://www.cert.org/ or ftp://info.cert.org/pub/). Readers may learn about the latest updates to these publications at these locations. *Registered in the U.S. Patent and Trademark Office. CERT Advisory CA-99-07 IIS Buffer Overflow CERT 勧告 CA-99-07 IIS Buffer Overflow Originally released: June 16, 1999 Source: CERT/CC 初版: 1999年6月16日 情報源: CERT/CC Systems Affected 影響を受けるシステム * Machines running Microsoft Internet Information Server 4.0. * Microsoft Internet Information Server 4.0 を実行しているマシン I. Description I. 解説 A buffer overflow vulnerability affecting Microsoft Internet Information Server 4.0 has been discovered in the ISM.DLL library. According to Microsoft, ISM.DLL is the "filter DLL that processes .HTR files. HTR files enable remote administration of user passwords." Microsoft Internet Information Server 4.0 に影響を与えるバッファあ ふれの脆弱性が、ISM.DLL ライブラリに発見された。Microsoft によると、 ISM.DLL は「.HTR 形式のファイルを処理するフィルタ DLL である。HTRファ イルはユーザパスワードのリモート管理を可能にする」という。 A tool to exploit this vulnerability has been publicly released. このセキュリティ上の弱点を悪用するためのツールが、すでに公開されて いる。 II. Impact II. 影響 This vulnerability allows remote intruders to execute arbitrary code with the privileges of the IIS server. Additionally, intruders can use this vulnerability to crash vulnerable IIS processes. このセキュリティ上の弱点が悪用されると、IIS サーバを実行している権 限で、リモートの侵入者によって、任意のコードが実行されてしまう。加 えて、侵入者はこの弱点を利用して、脆弱な IIS のプロセスをクラッシュ させることができる。 III. Solution III. 対策 Microsoft has released Microsoft Security Bulletin MS99-019 describing a workaround to this problem. Additionally, Microsoft is working on a patch to fix this problem; information regarding this patch will be available in the Microsoft Security Bulletin. We encourage you to read this bulletin, available from Microsoft では、この問題の対策について述べた Microsoft Security Bulletin MS99-019 を公開した。さらに、同社はこの問題を修正するための パッチを開発中である。このパッチに関する情報は、Microsoft Security Bulletin で入手できる。我々はこの告知を読むよう推奨する。告知は以下 から入手できる。 http://www.microsoft.com/security/bulletins/ms99-019.asp We will update this advisory as more information becomes available. Please check the CERT/CC web site for the most current revision. CERT/CC はさらに詳しい情報を得た場合、この勧告を更新する。最新の改 訂版については、CERT/CC の Web サイトを確認していただきたい。 ______________________________________________________________________ This document is available from: http://www.cert.org/advisories/CA-99-07-IIS-Buffer-Overflow.html. この文書は以下から入手できる。 http://www.cert.org/advisories/CA-99-07-IIS-Buffer-Overflow.html. ______________________________________________________________________ CERT/CC Contact Information Email: cert@cert.org Phone: +1 412-268-7090 (24-hour hotline) Fax: +1 412-268-6989 Postal address: CERT Coordination Center Software Engineering Institute Carnegie Mellon University Pittsburgh PA 15213-3890 U.S.A. CERT personnel answer the hotline 08:00-20:00 EST(GMT-5) / EDT(GMT-4) Monday through Friday; they are on call for emergencies during other hours, on U.S. holidays, and on weekends. CERT へのコンタクト方法 電子メール: cert@cert.org 電話: +1 412-268-7090 (24-hour hotline) ファックス: +1 412-268-6989 住所: CERT Coordination Center Software Engineering Institute Carnegie Mellon University Pittsburgh PA 15213-3890 U.S.A. CERT の個別回答ホットライン 08:00-20:00 EST(GMT-5) / EDT(GMT-4)月曜 から金曜まで。このほかの時間帯、アメリカ合衆国の休日、あるいは週末 も、緊急事態に備え待機している。 Using encryption 暗号の利用 We strongly urge you to encrypt sensitive information sent by email. Our public PGP key is available from http://www.cert.org/CERT_PGP.key. If you prefer to use DES, please call the CERT hotline for more information. 電子メールで重要な情報を送るときは、暗号化することを強く要請する。 CERT の PGP 公開鍵は、http://www.cert.org/CERT_PGP.key から手に入れ ることができる。DES を利用したい方は、詳細について CERT ホットライ ンまで問い合わせていただきたい。 Getting security information セキュリティ情報の取得 CERT publications and other security information are available from our web site http://www.cert.org/. CERT の発行文書、その他セキュリティに関する情報は、我々の Web サイ ト http://www.cert.org/ から入手できる。 To be added to our mailing list for advisories and bulletins, send email to cert-advisory-request@cert.org and include SUBSCRIBE your-email-address in the subject of your message. 勧告と公報を提供するメーリングリストに登録するには、メッセージの subject 欄に、 SUBSCRIBE 自分の電子メールアドレス を記入して、cert-advisory-request@cert.org に送って欲しい。 Copyright 1999 Carnegie Mellon University. Conditions for use, disclaimers, and sponsorship information can be found in http://www.cert.org/legal_stuff.html. Copyright 1999 Carnegie Mellon University. 使用条件、免責事項、スポンサーとの契約に関する情報については、 http://www.cert.org/legal_stuff.html から入手できる。 * "CERT" and "CERT Coordination Center" are registered in the U.S. Patent and Trademark Office * "CERT" と "CERT Coordination Center" は、合衆国特許商標庁に登録済 みである。 ______________________________________________________________________ NO WARRANTY Any material furnished by Carnegie Mellon University and the Software Engineering Institute is furnished on an "as is" basis. Carnegie Mellon University makes no warranties of any kind, either expressed or implied as to any matter including, but not limited to, warranty of fitness for a particular purpose or merchantability, exclusivity or results obtained from use of the material. Carnegie Mellon University does not make any warranty of any kind with respect to freedom from patent, trademark, or copyright infringement. 無保証 Carnegie Mellon University および Software Engineering Institute に よって提供されるいかなる資料も、「このままの形で」提供される。 Carnegie Mellon University は、いかなる事項に関しても明示的あるいは 言外の保証を行わない。それらの事項は、特定あるいは商用目的に対する 適応に対する保証、この資料の利用からもたらされる独占的な権利や結果 を含み、またこれらだけに限られない。Carnegie Mellon University は、 特許、商標、あるいは著作権の侵害から免れるような保証はなにも提供し ない。 Revision History June 16, 1999: Initial release 改訂履歴 1999年6月16日: 初版発行 - ---------------------------------------------------------------------------- JPCERT/CC 改訂履歴 2000年8月25日 最新情報の URL の更新 1999年6月21日 初版 ====================== この文書の取扱に関する注意事項 ====================== この文書は、原著作権者から翻訳の許諾を受け、JPCERT/CC が独自に翻訳し た文書です。この翻訳文書を商業目的に使用することを禁止します。また JPCERT/CC の許諾なく再配布することを禁止します。 翻訳にあたっては、誤訳や誤解を生じるような表現をなくすように努力して おりますが、もし万が一不具合を見つけた場合には、JPCERT/CC にご連絡頂け れば幸いです。また、それ以外にも、この翻訳に関して質問等がある場合には、 JPCERT/CC にご連絡をお願い致します。連絡先は次の通りです。 info@jpcert.or.jp この翻訳文書は、随時更新される可能性がありますので、最新情報について は、次を参照してください。 http://www.jpcert.or.jp/tr/cert_advisories/ また翻訳文書の原文書も随時更新される可能性がありますので、そちらも参 照してください。翻訳文書と原文書のバージョンが異なる場合には、原文書が 最新情報です。 ===================== JPCERT/CC からのお知らせとお願い ===================== 本文書で解説した不正アクセスも含め、インターネット上で引き起こされる さまざまな不正アクセスに関する情報がありましたら、JPCERT/CC 所定の報告 様式にご記載のうえ、関連するログファイルのメッセージとともに、次のアド レスまでお送りください。 info@jpcert.or.jp 報告様式等、JPCERT/CC への連絡方法につきまして、詳しくは次の URL を ご参照下さい。 http://www.jpcert.or.jp/contact.html JPCERT/CC に頂いた報告は、報告者の了解なしに、そのまま他組織等に開示 することはありません。JPCERT/CC の組織概要につきましては、次の URL を ご参照ください。 http://www.jpcert.or.jp/ JPCERT/CC では、不正アクセスに関する情報を迅速にご提供するために、メー リングリストを開設しています。登録の方法等、詳しくは、次の URL をご参 照ください。 http://www.jpcert.or.jp/announce.html __________ 注: この文書は、不正アクセスに対する一般的な情報提供を目的としており、特定 の個人や組織に対する個別のコンサルティングが目的ではありません。そのため、 個別の問題に関するお問い合わせ等に必ずお答えできるとは限りません。また、お 答えできる場合でもご回答が遅れる可能性があります。 JPCERT/CC は、この文書に記載された情報の内容が正確であるよう努めていますが、 正確性を含め一切の品質についてこれを保証致しません。この文書に記載された情 報に基づいて、貴方あるいは貴組織がとられる行動、あるいはとられなかった行動 によって、直接的、間接的または偶発的に引き起こされた結果に対して、JPCERT/CC は何ら保証致しません。 -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia iQCVAwUBOaXo34x1ay4slNTtAQF5UQP+NQ0siz9Nqfyl5B99INyNx5sGBnxrV4Ea zzzgshcLgt1Y/oUcR8W9U4K5tvcLUbdyQD5/IOcyplyQghR0enAVlUtVHYT7deqJ bSTS2rKnEod4Ow26MeYQ485fDhI/ixE2fwwi9dZZsJqV3vOlnuHq/oeHlJvsDd5p ydxNU0DfKOA= =COQw -----END PGP SIGNATURE-----