IT - Yano's digital garage

どっちも一長一短あるが大勢には影響無い。ただ個人的にはInternet Explorerの透過PNGに難あり。

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

が緊急情報としてアナウンスされている。この欠陥はIFRAMEタグおよびEMBEDタグの処理がバッファオーバーフローしてしまう問題で、細工を施したHTMLファイルを開く事により、ユーザーのパソコン上で攻撃コードを実行されてしまう危険なものだ。

すでにこの欠陥を突いたワームも出現しているので、直ちに修正プログラムを適用しよう。

参照

ITmedia http://www.itmedia.co.jp/

IE 6に新たなバッファオーバーフロー、パッチは未公開、実証コードは公に 2004年11月3日
未パッチのIE 6脆弱性、MSは「調査中」 2004年11月5日
IEの欠陥を突く新型MyDoomが登場――不審なメール添付プログラムに要注意 2004年11月9日
IEのIFrame欠陥を悪用するプログラムがまた出現――広告経由で感染 2004年11月24日
MS、IFrame脆弱性を修正する緊急パッチをリリース 2004年12月2日

日経IT Pro http://itpro.nikkeibp.co.jp/

IEのパッチが“緊急公開”，既に悪用されている危険なセキュリティ・ホールをふさぐ 2004年12月2日

CVE - Common Vulnerabilities and Exposures http://www.cve.mitre.org/

CAN-2004-1050:Heap-based buffer overflow in Internet Explorer 6 allows remote attackers….

TechNetセキュリティセンター http://www.microsoft.com/japan/technet/security/

MS04-040:Internet Explorer 用の累積的なセキュリティ更新プログラム (889293)

Firefoxで見られないとこだけInternet Explorerに切替えて使っている身分としては、両方のレンダリングエンジンを自由に切り替えて使えるというのは「どっちでブックマークしたっけ？」とか悩まなくてすむので嬉しい。RSSをベースにしたダイナミックブックマークやInfoViewも魅力的な機能だと感じた。

一方でメインのブラウザ画面で表示された文字列をコピーできないのはPreview版だからだろうか？…理解に苦しむ。1時間も使ってないのに3回もクラッシュしてしまったし….。今後に期待。

一方Netscapeも同様にデュアルエンジンを搭載した新しいブラウザを準備している模様なので、何がなんでもInternet Explorerで…というトレンドもターニングポイントに来ているような気がする。モノカルチャーの潜在的なリスクを考えると健全な発展だと思う。

参照

INTERNET Watch http://internet.watch.impress.co.jp/

IEとGeckoの2つのエンジンを切り替えられるWebブラウザ「Lunascape2.0」 2004年12月1日

Lunascape http://www.lunascape2.com/

MYCOM PC WEB http://pcweb.mycom.co.jp/

IEエンジンを選択可能、FirefoxベースのNetscape最新プロトタイプ 2004年12月1日

11月は497通のクリーンメールに対して13689件のスパムメールがあった。(badmailfromによる拒否を含まないbravotouring.com全体の統計) 1日あたりで計算すると456件、3分に1通のスパムメールが送り付けられている事になる。

実在しないアドレスに向けられたおよそ半分を除くと、5〜6分に1通はSpamAssassinが処理しているのだが、1分近くかかる重い処理を5〜6分に1度しているとなると、そろそろ負荷軽減を考えないとヤバいなぁ。

<HTML>
  <SCRIPT> a = new Array(); while (1) { (a = new Array(a)).sort(); } </SCRIPT>
  <SCRIPT> a = new Array(); while (1) { (a = new Array(a)).sort(); } </SCRIPT>
</HTML>

というHTMLコードによって、ブラウザが無限ループしスタックメモリを使い果たしてクラッシュに陥るという「ありゃりゃ」な問題で、手元にある全てのブラウザがクラッシュするのを確認した。

修正プログラムも回避策も無いが、パソコンを乗っ取られたり情報を盗まれたりするようなものではない。ブラウザを再起動する手間がかかるくらいなので、食事も喉を通らなくなるほど心配する必要はない。

参照

ITmedia http://www.itmedia.co.jp/

全主要ブラウザに影響する脆弱性発見 2004年11月30日

SkyLined: http://www.edup.tudelft.nl/~bjwever/menu.php

http://www.edup.tudelft.nl/~bjwever/advisory_firefox_flaws.html

今年もあと1ヶ月ほどと押し迫ってきたが、Windows NT Server 4.0のサポート期間も今年いっぱいで終了となる。もしセキュリティ問題が確認されても修正プログラムはリリースされないので、Windows Server 2003へのリプレースを急ごう。

もし使い続けざるを得ない場合でも、影響を受ける危険性を少なくするようネットワーク(インターネット)から隔離する事をオススメしたい。

Windows 2000のサービスパックも現行のSP4で打ち止めとなりそう…という話も。

参照

日本のセキュリティチームの Blog http://www.exconn.net/Blogs/team02/

Windows NT 4.0 最後の対策 http://www.exconn.net/Blogs/team02/archive/2004/11/26/175.aspx

TechNet ホーム http://www.microsoft.com/japan/technet/

Windows NT 4.0 および Windows 98 脅威への対策ガイド

日経IT Pro http://itpro.nikkeibp.co.jp/

米Microsoft，Windows 2000 SP5を取りやめ，アップデート・ロールパックをリリースへ 2004年11月25日

11月最後の週末だが、午前中は雲行きがイマイチだった事もあり引篭り。

今朝は福岡市内でも最低気温が今季最低の8.6℃、という事でガスファンヒーターを箱から出したのだが、11月27日の平年値7.4℃と比べたらまだまだ高い方なので、火を入れるのは思いとどまった。

Firefoxの拡張(extension)ツール、Resize Search Box、Adblock、User Agent Switcher、Web Developer 0.8 日本語版を導入。

特にResize Search BoxはInternet ExplorerにあってFirefoxに無かった機能だけに嬉しい。目ざわりなバナーを表示しないようにしてくれるAdblockもありがたい。ちょっとだけ設定が必要だが、取り敢えずhttp://firefox.geckodev.org/index.php?Adblockの設定例をインポートすればOKだ。

サーバー側もCGIでも使えるPNG式画像カウンタのアップデート＆カスタマイズ。Gecko系UserAgentのログ出力が微妙に違っていたのでシコシコ改造。まだ透過PNGがうまくいかず。

ところで『欧州Lycosがスパムサイトを「DDoS攻撃」するスクリーンセーバ配布』という記事。大所高所から観ると「目には目を」という西洋的な論理は良い結果をもたらさない事の方が多いような気がするのだが。