IT - Yano's digital garage

Cannot open/read repomd.xml file for repository: base
failure: repodata/repomd.xml from base: [Errno 256] No more mirrors to try.
Repository base already added, not adding again
Cannot open/read repomd.xml file for repository: base
failure: repodata/repomd.xml from base: [Errno 256] No more mirrors to try.
Repository base already added, not adding again

というエラーを吐いて失敗していた。この文面から察すると http://ftp.kddilabs.jp/pub/Linux/packages/fedora/core/$releasever/$basearch/os/repodata/repomd.xml にアクセスできないという事らしい。

サーバーメンテナンスなら2～3日で収まるかな？と思って様子見していたのだが、4日目になったので調査開始。

調査と言っても何の事は無い、Webブラウザでhttp://ftp.kddilabs.jp/へアクセスして見ると

ディスクトラブルの影響で、数日間、ftp.kddilabs.jp (ftp.ne.jp) のサービスが停止しておりました。現在、復旧作業を進めている関係で、FTPサービスのみを限定的に運用しております。 Linux Archiveのうち、いくつかについては復旧できませんでした。 Re-syncできるものは、作業を順次行っています。現在あるLinux Archiveのうち、いくつかのアーカイブについては、ファイルが壊れている可能性があります。もし、そのようなファイルを発見されましたら、お手数ですが、本ページ下部のメールアドレスまでお知らせください。 (日本語で問題ありません) ご迷惑をおかけして申し訳ありませんが、何卒、ご理解いただきますよう、お願い申し上げます。 HTTP/rsyncにつきましては、1週間以内の復旧を予定しております。なお、ファイルの取得にはFTPをご利用ください。 ftp://ftp.kddilabs.jp/ と書かれていた。どうせならkddilabs以外のmirrorサイトに変えてみよう！というわけで /etc/yum.conf を

サーバーサイドスクリプト言語プロセッサPHPの最新版 4.4.1 がリリース。と同時に、現行版にクロスサイトスクリプティング(XSS)を始めとした７つの脆弱性(セキュリティホール)が存在する事が公表・警告された。

この脆弱性を悪用されるとリモートから任意のスクリプトを実行されたり、セキュリティ制限を破って情報を盗まれる恐れがあり、サイトを閲覧するユーザーにリスクをもたらす危険性がある。サーバ管理者は一刻も早くアップデートすべきだ。

というわけで、早速アップデート。

$ wget http://jp2.php.net/get/php-4.4.1.tar.bz2/from/this/mirror
$ bunzip2 -dc php-4.4.1.tar.bz2 | tar xvf -
$ cd php-4.4.1
$ ./configure --enable-memory-limit --enable-inline-optimization --enable-mbstring --enable-zend-multibyte --with-mysql --enable-mbstr-enc-trans --enable-mbregex --with-config-file-path=/usr/local/apache/conf/php --with-apxs2=/usr/sbin/apxs
$ make
$ sudo make install

てな感じでbuild。正常に終われば最後にapacheの再起動を行って終了だ。

一方、PHP5系列でも現行版の5.0.5を含めた全バージョンが影響を受けるのだが、11月3日現在残念ながらまだ修正版が出されていない。脆弱性が公表され狙われる危険性が非常に高いので早急なアップデートリリースが待たれる。

参照

ITmedia http://www.itmedia.co.jp/

複数の脆弱性を修正した「PHP 4.4.1」リリース 2005年11月2日

日経ITPro http://itpro.nikkeibp.co.jp/

PHPに“最悪”のセキュリティ・ホール，全ユーザーは今すぐ対処を 2005年11月2日

PHP http://www.php.net/

PHP 4.4.1. Release Announcement 2005年10月31日

コンテンツ管理システム XOOPS にクロスサイトスクリプティング等のセキュリティホール（脆弱性）が報告されている。悪意を持った第三者がこの問題を突いてスクリプトを埋め込む事で、Cookieをから情報を盗まれたり、セッションハイジャック・なりすましといった悪用を受ける事がある。

このXOOPSはPHPとMySQLをプラットフォームとしたサーバソフトウェアなので、一般ユーザーが心配する必要はない。逆に心当りのあるWeb管理者は速やかに最新版へアップデートしよう。

ちなみにXOOPSはrNoteと一緒に検討したソフトのひとつで、JP版と国際版に別れている事で速やかな改修作業などが心配だったのだが、心配するほどの事は無かったようだ。

選定のポイントとしては、XOOPSがフォーラムや会議室などを主としたコミュニティサイトの構築に向いてる反面、記事をアップロードして構築するサイトにはちょっと向いてない印象があり、rNoteの導入に至った経緯がある。

参照

日経ITPro http://itpro.nikkeibp.co.jp/

XOOPS Cube http://jp.xoops.org/

XOOPS 2.0.13a JPリリース 2005年10月25日

情報処理推進機構(IPA) http://www.ipa.go.jp/

JVN#77105349：「XOOPS」におけるクロスサイト・スクリプティングの脆弱性 2005年10月24日

情報処理推進機構(IPA) http://www.ipa.go.jp/

SNS Advisory No.85 XOOPS Multiple Cross-site Scripting Vulnerabilities 2005年10月25日

10月12日に公表されたWindows 2000/XPのセキュリティ・ホールMS05-047を悪用して感染するボットMocbotが現れた。

最近急激に増えてきているのが、このボットと呼ばれる種類のマルウェア。(ちなみにマルウェアというのはウィルスやワーム、スパイウェアなどの悪質なソフトウェア全般を指す)

ボット感染によってパソコンやデータが破壊されたりすることはないが、乗っ取られたり踏み台にされると知らないうちに攻撃に荷担する危険性が高いので、早急にWindows Updateしよう。

参照

日経ITPro http://itpro.nikkeibp.co.jp/

ネットの脅威「ボット」の実態をつかめ！—国内の深刻な状況が明らかに 2005年8月31日
「ボット機能を持つウイルスが多数出現，加害者にならないために対策を」—IPA 2005年10月6日
ボットネットの怖さを“体感”，国が本腰を入れる対策プロジェクトとは？ 2005年10月19日
MSが10月のセキュリティ情報を一部更新，ダウンロードセンターからパッチを入手したユーザーは注意 2005年10月21日
10月に公開されたWindowsのセキュリティ・ホールを突くボットが出現 2005年10月24日

＠IT http://www.atmarkit.co.jp/

変幻自在なBOTの正体を暴く 2005年9月22日 ◆星野君のWebアプリほのぼの改造計画
第1回セミナー申し込みフォームがスパムの踏み台？ 2005年10月15日

情報処理推進機構(IPA) http://www.ipa.go.jp/

対策のしおり - ボット対策、スパイウェア対策 - 2005年10月20日

マイクロソフトTechnet http://www.microsoft.com/japan/technet/

プラグアンドプレイの脆弱性により、リモートでコードが実行され、ローカルで特権の昇格が行なわれる (905749) (MS05-047) 2005年10月12日

長崎県は「電子自治体構築の基本方針」に沿って電子県庁システムのソースコードを公開した。今回公開されたのは以下のシステム。

統合メインメニュー年次休暇システム WEB職員録システムデータベースダンプ文書保管システム

著作権は長崎県が保有するが、お馴染みGPLの考えに基づいて無償で利用する事が可能だ。

これは金子原二郎長崎県知事の肝入りによって日本総研からCIO(最高情報責任者)に迎えた島村秀世氏が発案した“ながさきITモデル”の一環だ。

“ながさきITモデル”で最も注目を集めたのがシステムの仕様策定を外部に発注するのではなく県職員が作成するようにした事だ。これで大手ベンダーが自社に都合が良いように仕様を決めてしまう悪しき慣例を排除し、競争入札も健全になり活性化する事が予想される。また県が率先して案件を小分けする事で、小規模ベンダーにも応札できるようになり、ひいては地場ITベンダーを潤わせまた力を底上げするというビジネスモデルの根幹を成す戦略的な施策である。

一連の案件では狙いどおりドゥアイネットという従業員10数名の小規模ベンダーが受注して注目していたのだが、こうしてソースリリースに至ったという事からも順調に船出をしたと言えよう。

今回の件は、開発システムをオープンソースとして公開したのが目玉なのだが、一般に公開する事によって経験や資産に勝る大手ベンダーだけでなく、経験の乏しい地場の小規模ITベンダーにも応札をしやすくするという狙いがある。無償なので市町村などの他自治体でも調達コストを下げ、開発期間も短くできるというメリットも期待できる、といい事ずくめのように映るが、発注する自治体側でもそれなりに勉強して眼力を養っておかないと痛い目に遭うのは間違い無い。

後を追う自治体がどれほど現れるか、注目したい。

政府も「e-japan」という掛け声だけでなく、こういう実のある施策を打ち出すくらいの甲斐性があればいいのだが。

参照

日経ITPro http://itpro.nikkeibp.co.jp/

長崎県庁，民間からオープンソースに詳しいITマネジャを募集 2003年1月27日
長崎県，オープンソースの自治体システム構築のビジネスモデル特許を出願 2003年7月23日
「抵抗と戦い自治体の『丸投げ意識』を変えた」!)!)長崎県総務部参事監島村秀世氏 2004年10月5日
「オープンソースを活用し自治体間でアプリを共有」—米マサチューセッツ州 CIOが「OSSとe-ガバメント」会議で報告 2004年11月19日
オープンソースで育て！　日本のソフト開発力 2005年3月30日
長崎県、電子県庁システムのソースコードを公開 2005年10月21日

オープンソースベンダーフォーラム長崎 http://osvfn.com/

株式会社ドゥアイネット http://www.doinet.co.jp/

マイクロソフト http://www.microsoft.com/japan/

シリーズ　電子政府・電子自治体に挑んだ人たち第2回長崎県庁 CIO 自らの仕様書づくりから始まった電子決裁システム

長崎県 http://www.mm.pref.nagasaki.jp/

メルマガ長崎県バックナンバー 2003年10月01日 vol.046 2003年10月1日

18日に書いた「銀行ATMに隠しカメラ発覚」の続報。

昨年８月、偽のカード情報読み取り装置（カードリーダー）が愛知県内の無人店舗に設置されていたことがわかった。それで盗み取った情報をもとに偽造されたと見られるカードで預金約１０００万円が不正に引き出されていた。偽のカードリーダーと隠しカメラを組み合わせて情報を盗み取れば、比較的簡単に不正引き出しが可能となるため、銀行では警戒を強めている。

記事では「偽のカードリーダー」がどういう姿形をしているのか不明だが、元から設置されている既存のATMに何らかの細工を施したのではないかと想像する。

これは防犯カメラが設置されている銀行の無人店舗での犯行という事から明らかになったような気がするのだが、今後は銀行とは無関係の場所で情報を盗まれるようなケースにエスカレートする事が危惧される。

**「タバコ屋の角に公衆電話を摸した貯金箱を置いといたら間違ってお金を入れちゃう人が絶対いるよね！」**という笑い話にも似ているが、街には公衆電話に代って自販機やCD/ATMが溢れ、またカードを使う機会の多い昨今ではもはや笑って済ませられる話では無い。

自動預払機なんて作るだけでも相当な金がかかると思われるかもしれないが、中身は5万円程度のパソコンで充分だしデータを読み取るだけのソフトなら簡単だ。筐体は産業廃棄物のルートで入手する事ができそうな気がするし**「重機でATMごと盗まれた」**というニュースももはや珍しく無い。

そういう意味ではオンラインバンキングでのフィッシングサイトと同じ問題が、リアルな現実として現れたとも言えるんじゃないかな？いや、オンラインバンキングではURLやサーバー証明書などで真偽を確認する手段はある程度整備されているが、銀行店舗外にあるATMの真偽を確認する手段は皆無な気がする。せいぜい名の通った提携コンビニチェーンの店舗内にあるものは信用していいかなぁ、という程度。

とは言っても有名ゴルフ場を預かる支配人が犯罪に荷担して客を陥れるご時世。有名なコンビニと言えどもフランチャイズ契約のオーナーやアルバイトの少年など内部に犯罪に荷担している人がいればアウトだ。

例えば初めて行ったスーパーや「道の駅」の外れにCD/ATMがあったとして本物か偽物かの判断ができるだろうか？いつでもどこでも出し入れできる利便性と引き換えに用心深さを失い、背負わされているリスクにすら気付いていない人は意外と多い気がする。

参照

asahi.com http://www.asahi.com/

IT

月刊Windows Update、11月号

参照

結べる光ファイバー登場

参照

ドコモがタワーレコードと提携

参照

WILLCOM MANIACS 2005

参照

ftp.kddilabs.jpの障害

PHP 4.4.1 にアップデート

参照

XOOPSにXSS脆弱性

参照

Mocbot

参照

ながさきITモデル

参照

【続報】UFJのATM盗撮

参照