YANO's digital garage

昨日は結局雨も降らず最高気温は33.8℃、今朝の最低気温も28.2℃とどちらも9日連続で真夏日・熱帯夜だった。

ちなみに9日の朝4時から222時間に渡って一度も25℃を下回っておらず、13日以降は平均気温が30℃越えの厳しい暑さが続いている。にも関わらず昨日は比較的過ごし易かった気がして日中から朝までエアコン無し(扇風機全開)で耐えきったのだが、ここ数日の厳しい暑さにようやく暑さに慣れたかな。

さて、Debianの開発用サーバーが不正侵入を受けた件で、原因はLinuxカーネルのセキュリティ・ホールであった事が報告されている。記事によると

今回悪用されたセキュリティ・ホールが存在するのは，Linuxカーネル 2.6.13から2.6.17.3まで，および2.6.16から2.6.16.23まで。2.6.17.4および2.6.16.24では修正されている。

という事なので、早速ChangeLog-2.6.16.24を確認すると変更点は"fix prctl privilege escalation and suid_dumpable (CVE-2006-2451)"だけ。gluck.debian.orgの不正アクセスは盗まれた開発用のユーザーアカウントからの権限昇格によるものと言われているので、脆弱性はCVE-2006-2451だという事がわかる。

そもそも開発用のユーザーアカウントが盗まれてたのも問題っちゃ問題だが、例えローカルユーザーアカウントを設定していなくても「ローカルユーザーのアクセス権限を取得する」セキュリティホールを突かれるとログインを許してしまうわけで、「権限昇格」のセキュリティホールを組み合わせてリモートから管理者権限を奪われるリスクは存在する事になる。簡単に言うと「セキュリティホールはとにかく塞ぐ」のが基本だ。

今ターゲットにしているのが 2.6.16.23 なのでまさしく修正直前版。「取り敢えずアップデートしとかねぇと…」と思ったら、もう 2.6.16.27 が出ていたよ....。というわけで、本日最初の作業は 2.6.16.27 への乗換え。まぁ 2.6.16.23 で作ったパッチが一発で適用できたのでさほど手間は掛らなかったが、また一通り動作確認をしないとならないのが軽く面倒だ。

話は変って、Movable Type日本語版も不具合修正がリリースされているので、関係者はアップデートするべし、するべし。

【参照】
●日経ITPro http://itpro.nikkeibp.co.jp/
┣Debianの開発用サーバーで不正侵入を検知，サービス提供を一時停止 2006年7月13日
┗Debian開発サーバーへの不正侵入，原因はLinuxカーネルのセキュリティ・ホール 2006年7月14日
●ITmedia http://www.itmedia.co.jp/
┗Movable Type日本語版、不具合修正の3.31公開 2006年7月13日