IT - Yano's digital garage

WindowsのヘルプシステムとLoadImageにそれぞれ欠陥が警告されている。

それぞれは異なる欠陥だがどちらもバッファオーバフローが原因で、添付ファイルやWebアクセスによりリモートから攻撃コードを実行される恐れがある深刻なものだ。

悪用事例の報告はまだ無いものの、実証コードはインターネット上で公開されている。また対象がほとんどのWindowsと広範囲な事もあってクラッカーには格好の標的、攻撃に悪用されるのは時間の問題だ。

残念ながら修正プログラムはまだ無く、設定による回避策も不明。特に年賀メールが増える時期だけに年末年始の心配は尽きない。誰から送られたに関らず、くれぐれも添付ファイルを不用意に開く事の無い用に注意されたい。

クリスマスプレゼントはThunderbird 1.0 日本語版だけでえぇがな…。

参照

ITmedia http://www.itmedia.co.jp/

今年もキミは来ないのね――聖夜にかけるIT戦士かく闘えり 2004年12月24日
Mozilla Japanからクリスマスプレゼント――「Mozilla Thunderbird 1.0」日本語版がリリース 2004年12月24日
Windowsヘルプファイルなど、多数の未パッチ脆弱性が発覚 2004年12月25日

/etc/httpd/conf/httpd.confの修正。いつものカスタマイズ点は省略。Apache 2.0 ではAddDefaultCharsetを忘れないように。

#
# Specify a default charset for all pages sent out. This is
# always a good idea and opens the door for future internationalisation
# of your web site, should you ever want it. Specifying it as
# a default does little harm; as the standard dictates that a page
# is in iso-8859-1 (latin1) unless specified otherwise i.e. you
# are merely stating the obvious. There are also some security
# reasons in browsers, related to javascript and URL parsing
# which encourage you to always set a default char set.
#
#AddDefaultCharset ISO-8859-1
**AddDefaultCharset off**

ついでにLanguagePriorityディレクティブも、日本語を優先させる為にjaを先頭に移動。

ハードディスクを入れ替えてFedora Core 3 の基本導入。DVD-ROMから直接起動しインストールして僅か30分程で終了。ウィンドウマネージャーはGNOMEをチョイスしたが、特に明確な理由は無い。up2date に2時間近くかかり「やられた〜」と思ったもののここまで昨夜のうちに終了。

Firefox が入っているのはいいものの日本語版はどうやって入れればいいんかな？ Resize Search Box Extention が入りきれない事もあってちょっとイマイチ。

まずは自分が sudo で成り上がる為 /etc/sudoers にアカウントを追加。暫くはNOPASSWDで。

# User alias specification
yano    ALL= NOPASSWD:ALL
# Defaults specification
Defaults syslog=auth,    logfile=/var/log/sudo.log

OpenSSLはFC3に含まれていたのだが、/usr/local/ssl/が無いのでちょっと困ったちゃん。結果こんな感じで。

gcc -o sslwrap s_server.c s_socket.c s_cb.c -O2 -DFLAT_INC -DOPENSSL="" -I/usr/include/openssl -lssl -lcrypto

cp -p sslwrap /usr/local/bin/

夜はM永クン、I脇クンと天神で一席。

「アプリケーション」→「システム設定」→「サーバ設定」→「サービスの設定」を起動。httpdをチェックして自動起動するように設定。ついでに他のサービスも要・不要を見直して保存する。sendmail関連は要らないので

$ sudo rpm -e sendmail fetchmail mutt mdadm redhat-lsb

でrpm ごと電子の藻屑に。

去年に引き続いてのITmedia岡田有花記者の体当たり…ていうか自虐記事。

絶対零度の人体実験に挑んだクリスマスイブから1年。今年は部屋を飛び出し、浮かれる街にネガティブパワーを伝染だ！こんな日でも納期に追われる本物のIT戦士に贈る「心温まるちょっといい話」（苦笑）。

という事だが、果たして…

参照

ITmedia http://www.itmedia.co.jp/

今年もキミは来ないのね――聖夜にかけるIT戦士かく闘えり 2004年12月24日

0 width=120 height=150 src=“http://rcm-jp.amazon.co.jp/e/cm?t=yanosdigitalg-22l=st1search=B0006L48U6mode=electronics-jpp=6o=9lt1=_blankf=ifr">

日曜深夜についついamazonの購入ボタンをポチッとしてしまったHP Compaq Business Notebook nx9030/CT(以降nx9030と呼称)が着荷。朝8時半頃という下手したら寝てたかもしれないような早い時間にやって来たペリカン便ドライバー。深く考えずに「またえらい早い時間ですね」と言ったら「今日は特に荷が多いんで…」とこぼしていた。

そういえばクリスマスプレゼントのピークだもんな。サンタさんのお手伝いご苦労様です。このパソコンは新しいサーバーにする為に買ったわけだが、誰かが喜ぶワケでもないので結局は自分へのクリスマスプレゼントか、と思うとちょっと嬉しいかも。

Libの倍はあるnx9030 — hp compaq nx9030/CT LibrettoやCDと比べるとやっぱりなかなかデカい

さて手元のnx9030。真っ先にハードディスクを取り外してTOSHIBAのMK3025GAS(H9.5mm/4200rpm/8MB)である事を確認。歯医者に行ってPMTCを済ませた足でドスパラ博多店まで足を延ばし、Linux用に40GBのMK4025GAS 7,550円を買ってきた。

取り敢えず、そのままの状態からWindows XP Homeのセットアップ。Home Editionを使うのは初めてなのだが、ネットワークにも繋いでなかったのでわずか15分ほどで終了。コンピュータ名はまんまnx9030だ。

6月発表の機種故にService Pack 1のままちゅう事で、続いてService Pack 2のアップデート。Librettoは未だアップデートしてないのでこれも初のService Pack 2のアップデートだったが、これも難無く終了。Windows UpdateとHP ソフトウェアの更新を行った後、ニューマシンのお約束ベンチマーク。

`CrystalCPUID`

…の前にCrystalCPUIDでコンピュータ情報をチェックしたところ、Celeron M Processer 1300MHzと表示されている。

確かにamazonのページにはCM320 1.3GHzと書いてあったものの、HPのWebサイトにはCeleron M 330 1.4GHzが最低スペックとなっているので単なるミスだと思っていたのだが、amazonの安さの秘密はこの辺りにあるようだ。

ちょっとがっかりだが、100MHzのクロック差などは誤差の範囲とも言える微々たるモノだ。悔やむほどの事はない。

でもってベンチマーク。Athron XP **2500+のメインマシンと比較しておおよそ75〜80%**くらいのパフォーマンス。思ったほど高くないような気がするが、まぁ必要にして充分だろう。

| | Iron
Athron XP 2500+ | nx9030

Celeron M 1.3GHz
`HDBENCH`
3.30
—
`3DMark03`
—
`N-Bench 2`
CPU
—
`N-Bench 3`
CPU
—

N-Bench 2はnx9030で3Dベンチが一部動作せず、Overallが測定できなかった。

Internet Explorer 6 に、フィッシング攻撃が仕掛けられてしまうという問題が警告されている。また最新の Windows XP SP2 環境でも防げない事に注意する必要がある。

セキュリティホール memoによると

IE 6 の DHTML Edit ActiveX コントロールにクロスサイトスクリプティング欠陥があるため、web サイトは本来のコンテンツに対して任意の JavaScript を挿入できる。これを利用すると、本来はできないはずのアドレスバーの URL 詐称や SSL 鍵アイコンの詐称などが可能となる。

そうで、パソコンを乗っ取られたりウィルスに感染したりするような事はないものの、オンラインバンキングや決済系サイトの偽装に騙されると経済的な大損害が発生しかねない深刻なものだ。

修正プログラムはまだ無く、回避方法は ActiveX を無効とする事。また Windows XP SP2 に限り問題の DHTML Edit ActiveX コントロールだけを無効にする事ができるそうだ。手順はセキュリティホール memoを参照の事。

個人的にはこれを機に Internet Explorer 以外のブラウザに乗換えるというのも悪くないと思うが。

参照

ITmedia http://www.itmedia.co.jp/

IEにクロスサイトスクリプティングを許す脆弱性、SP2でも防げず 2004年12月17日
IEにフィッシングの危険――ActiveXに問題 2004年12月20日

6.0.3 のゴタゴタですっかり忘れかけていた 7.0 が出た。ステキな事に日本語版 for Windows,Macも同時リリースされており、米国サイトhttp://www.adobe.com/からダウンロード可能だ。なおアップデートの際には再起動が必要となる。

ちなみに

なお、日本語サイトでは12月中旬からのダウンロード開始を予定していたが、2005年1月中旬に延期された。

という事で、http://www.adobe.co.jp/からはダウンロードできない。残念。

♪なんでだろ〜、なんでだろ？最近テツ＆トモ見ないのなんでだろう？

参照

INTERNET Watch http://internet.watch.impress.co.jp/

米Adobe、Flashの脆弱性を修正した「Adobe Reader」と「Acrobat」公開 2004年12月14日

PC Watch http://pc.watch.impress.co.jp/

アドビ、起動時間が高速化された「Acrobat 7.0」 2004年12月1日
Adobe、起動を高速化した「Adobe Reader 7.0日本語版」を公開 2004年12月22日

adobe http://www.adobe.com/

Adobe Reader ダウンロードページ http://www.adobe.com/products/acrobat/alternate.html

14日に既報済みの 6.0.3 だが、MacOS X版が 6.0.3a に差し替えられている。6.0.3 に含まれていたAdobe Reader向けの深刻でないバグ修正部分が取り除かれたらしく、6.0.3にアップデートした人は問題無いそうだ。ちょっとわかりづらいが、心配には及ばない。

さて 6.0.3 のリリースから一週間が過ぎたにも関わらずfull versionはリリースされていない。もしかしてfull versionは出ないのか？またパッチが 6.0.2 にしか対応していないという問題もあり** 6.0.1 以前のユーザーは 6.0.2 にアップデートもしくは 6.0.2 をfullインストールしてから、今回のパッチをダウンロードして適用しなくてはならない**。

日本語のダウンロードページもようやくWindows版だけは公開されたようだが、相変わらずオンラインアップデートはできない。日本のサイトには未だ何もアナウンスが無いというのも…。多くのパソコンにプレインストールされていて、電子政府推奨でもあるドキュメントビューアーにしてはお粗末な対応では。これじゃ一般ユーザーにアップデートを期待するのは無理じゃん。