IT

28日にApacheの1.3系がアップデートされている。mod_include のバッファオーバーフロー(CAN-2004-0940)が対処されたという事だ。mod_sslも 2.8.22 が30日深夜にリリースされたので、何はなくともアップデート。

なお Apache 1.3.32 には mod_rewrite での QUERY_STRING 処理に問題があり、公式リリースされなかった(欠番)事になってるそうだ….。

参照

Japan Apache Users Group http://www.apache.jp/

mod_ssl http://www.modssl.org/

先週の申請を受けてドメイン管理者宛に送信される確認メールを待っていたのだがどうやら迷惑メールに分類されてしまっていたらしく、確認手続きが時間切れで今朝申請が取り消されてしまった。大失敗なり。f(^^;;

英語メールでもドメイン管理者宛のは引っかからないよう SpamAssassin の設定を変更したあと再申請。3時間ほどで確認メールを受信して一歩前進。

参照

ムームードメイン https://muumuu-domain.com/

今日から自動車の運転中に携帯電話を手に持って通話やメールすると違反となる。ラジオによると今日の午前中に福岡近郊だけでも4件が摘発されたらしい。ちなみに反則金は大型自動車が7,000円、普通自動車(自動二輪含)が6,000円、原付が5,000円。歩行者の立場からすると自転車も取り締まって欲しいところだが…

ハンズフリーキットに関しては、イヤホンやヘッドフォンでは救急車などのサイレンが聞こえ辛くなって危険という事から県によっては条例で取り締まり対象となる可能性があるのだが、今のところ**「外部の音が聞こえるのであれば違反ではない」**となっている。

ちなみに自分も一時期ヘルメットにイヤホンを内蔵してみたが、走行中はエンジン音やロードノイズがやかましくて通話はもとより着信音すら聞き取れなかった。ただ停車さえすればヘルメットを脱がなくても通話できるという点で利便性は高く、走行中に着信した時や雨天時に宿へ電話する場合などはありがたかった。が、結局連絡はメールばかりになり電話なんて滅多にかかってこないんで、今は使ってない。(笑)

参照

Response http://response.jp/

• 【ついに来たぞ改正道交法】ドライバーから見えにくい位置に警察官は立つ 2004年11月1日

ITmedia http://www.itmedia.co.jp/

• 運転中に携帯で罰金、11月1日スタート 2004年8月28日
• ヘッドセットはOK？NG？〜どうなる車内の携帯利用 2004年10月28日

今朝は7時頃に朝日に起されたものの、気合不十分で沈没。9時過ぎに起き出して「朝霧の唐揚げ喰いに行きたかったなぁ…」とか思って窓の外を眺めたら雨降ってたので、出なくて正解、結果オーライだ。

そういえば今日は「映画が1,000円のファーストデイだなぁ」というわけで夕方からTOHOシネマズ トリアス久山へ『笑の大学』を観に行ったのだが、理屈抜きで単純に面白かった。役所広司も良かったが、吾郎ちゃんもなかなかやるじゃん。そういえば『ラヂオの時間』は観逃したままだったような…

参照

TOHOシネマズ http://www.tohocinemas.co.jp/

• トリアス久山 http://www.tohocinemas.co.jp/hisayama/

笑の大学 http://warainodaigaku.nifty.com/

週末は雨という天気予報はハズレまくり。晴れるんならオートポリスにGT選手権を観に行ったのに….今週末もついてなさそうだ。

さてhttp://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/bugtraq/2004.10/msg00345.htmlでInternet ExplorerにURLを偽装できるバグがある事が指摘されている。具体的に言うと

<A href="http://www.microsoft.com/japan/"><TABLE><TR><TD><A href="http://www.google.com/">マイクロソフトっぽい？</A></TD></TR></TABLE></A>

とAタグの中にTABLEタグを折り込んでネストする事により、内部アンカーのURLを隠蔽し、外部アンカーで偽装できるというものだ。

手元で確認してみたところInternet Explorerだけでなく、mozillaとFirefoxでもステータスバーにhttp://www.microsoft.com/japan/と表示される事を確認した。正しくhttp://www.google.com/と表示できたのは Opera 7.53 だけだ。ちなみにmozillaとFirefoxでは左クリックではhttp://www.microsoft.com/japan/が開かれ、右クリックからのオープンではhttp://www.google.com/が開かれるという問題も確認した。

参考まで上記HTMLを文中に実装したのが後続の部分だ。マイクロソフトに見せかけているが、クリックするとGoogleが開く。TABLEタグの影響で改行される為に [マイクロソフトっぽい？](http://www.microsoft.com/japan/) となり、若干違和感があるが、下のようにURLを書いておけば違和感は無くなる。[http://www.microsoft.com/japan/](http://www.microsoft.com/japan/)取り敢えずリンクをクリックした場合はアドレスバーを良く確認するしかない。

義援金詐欺が流行の気配だっちゅうのに困ったもんだ。

参照

セキュリティホール memo http://www.st.ryukoku.ac.jp/~kjm/security/memo/

• New URL spoofing bug in Microsoft Internet Explorer 2004年10月29日

portageで段階的にステップアップしてきた最終形 qmail-vida を導入する。

まずはdjb基本セットの daemontools と tcpserver からだ。いつものようにmakeすると「undefined reference to errno'」というエラーが発生する場合がある…ていうか[Fedora Core](http://www.fedora.jp/)では出る。調べたところglibc`のアップグレードに伴う弊害だそうだ。

だが途方に暮れる事はない。error.hの

extern int errno;

という1行を

#include <errno.h>

に置き換えれば良い。editorさえ使えればたやすい事だ。

daemontools と tcpserver のインストールまで終わったら、qmail のビルドだが、その前にqmailプロセス用のアカウントを追加しておく必要がある。が、さらに言うなら

# setenforce 0

でenforcing設定をpermissiveモードに切り替えてからやった方が良い。

# mkdir /var/qmail
# /usr/sbin/groupadd nofiles
# /usr/sbin/useradd -g nofiles -d /var/qmail/alias -s /bin/false alias
# /usr/sbin/useradd -g nofiles -d /var/qmail -s /bin/false qmaild
# /usr/sbin/useradd -g nofiles -d /var/qmail -s /bin/false qmaill
# /usr/sbin/useradd -g nofiles -d /var/qmail -s /bin/false qmailp
# /usr/sbin/groupadd qmail
# /usr/sbin/useradd -g qmail -d /var/qmail -s /bin/false qmailq
# /usr/sbin/useradd -g qmail -d /var/qmail -s /bin/false qmailr
# /usr/sbin/useradd -g qmail -d /var/qmail -s /bin/false qmails
# /usr/sbin/groupadd vida
# /usr/sbin/useradd -g vida -d /var/qmail -s /bin/false qmailu
# /usr/sbin/useradd -g vida -d /var/qmail -s /bin/false authdb
# /usr/sbin/useradd -g members -d /home/pop/ -s /bin/bash pop

続いて qmail と qmail-vida のビルドとインストール。 今回はqmailパッケージとcheckpasswordパッケージへのパッチは以前に適用済みのものをportageからコピーしたので省略。オリジナルアーカイブから展開する場合はパッチを忘れずに。詳細は添付文書(doc/install.html)参照の事。

赤い羽根共同募金の「義援金依頼を偽装した詐欺メール」が出回っている模様。

「新潟県中越地震災害義援金」について、中央共同募金会名の義援金依頼メールが出回っておりますが、本会では電子メール（ｅメール）による義援金依頼は一切行っておりませんのでご注意ください。 なお、疑わしい電子メールを受信された方は、お手数ですが、本会までご転送くださいますようお願いいたします。（2004年10月29日）

奥村先生が「よくできた詐欺メール」としてサンプルを公開しているが、実は「新潟県中越地震災害たすけあい」のまんまコピーだ。

From: 中央共同募金会 kyodo_bokin_to_niigata@mail.goo.ne.jp

と、フリーメールを使ってたり、

4. 義援金受入口座（受付期間内は、振込み手数料免除） 三井住友銀行 ドットコム支店（支店番号：953） 普通預金 口座：1142782 名義人：イーバンクギンコウ（カ

振込口座がイーバンクだったり、怪しさ大爆発なのだが。(笑)

参照

赤い羽根共同募金 http://www.akaihane.or.jp/

• 「新潟県中越地震災害」たすけあい 2004年10月25日

奥村晴彦のWiki http://oku.edu.mie-u.ac.jp/~okumura/pukiwiki/

• よくできた詐欺メール 2004年10月29日

ITmedia http://www.itmedia.co.jp/

• 義援金詐欺が出没　市職員のふりして募金集める 2004年10月25日

攻撃プログラムの実行を許してしまう深刻なモノなので、ツールメニューの**「アップデートをチェック」**からアップデートしよう。

QuickTimeにも問題があって 6.5.2 がリリースされたという情報があるが、6.5.1 でヘルプメニューから**「既存のソフトウェアを更新」**したら「お使いのソフトウェアは最新版です」と言われた。ダウンロードしてインストールしようと思ったら案の定 6.5.1 だし….。どうなってんの？

opensslも 0.9.7e がリリースされてたので例の如くアップデートするなり。片やSUSEの言うカーネル2.6の脆弱性だが、http://www.suse.com/にも詳細情報が見当たらずよくわからない。Fedora Core 2の最新版 2.6.8-1.521 はどうやねん？

参照

ITmedia http://www.itmedia.co.jp/

• Apple、QuickTime 6.5.2を公開 2004年10月27日
• OpenOffice.org最新版リリース 2004年10月27日
• Windows版RealPlayerにバッファオーバーフローの脆弱性 2004年10月27日
• SUSE、Linuxカーネル2.6の脆弱性を報告 2004年10月28日

日経IT Pro http://itpro.nikkeibp.co.jp/

• RealOne Player／RealPlayerに危険なセキュリティ・ホール，アップデートで解消できる 2004年10月27日

real.com http://www.jp.real.com/

• セキュリティ脆弱性に対応するアップデートをリリース 2004年10月26日

openssl http://www.openssl.org/

が出没。他人の不幸と厚意につけ込んで金をせしめようとする行為は極めて悪質で許せない。何ともイヤな世の中になったものだ。

また架空請求メールのように、メールやWebサイトで紛らわしい名前で作った口座への振込を誘導するケースも考えられる。ここではそういう作為を防ぐ意味から口座番号などは意図的に転記しない。個人サイトやニュースサイトを鵜呑みにする事なく、詳細情報は必ず自らが公式サイトやマスメディアで確認するようクセをつけておいて欲しい。

参照

ITmedia http://www.itmedia.co.jp/

• 義援金詐欺が出没　市職員のふりして募金集める 2004年10月25日

22日にApacheの1.3系がアップデートされている。不正な Content-Length の応答処理の問題(CAN-2004-0492)が対処されたという事だ。足並み揃えてmod_sslも2.8.21がリリースされたので、何はなくともアップデート。

参照

Japan Apache Users Group http://www.apache.jp/

mod_ssl http://www.modssl.org/

基本的な/etc/httpd/conf/httpd.confの編集をするなり。（サーバー名とかバーチャルホストの設定は省略）

何はともあれhttp://hostname/~hoge/を使う為にユーザーディレクトリを有効にする。

#
# UserDir: The name of the directory that is appended onto a user's home
# directory if a ~user request is received.
#
# The path to the end user account 'public_html' directory must be
# accessible to the webserver userid.  This usually means that ~userid
# must have permissions of 711, ~userid/public_html must have permissions
# of 755, and documents contained therein must be world-readable.
# Otherwise, the client will only receive a "403 Forbidden" message.
#
# See also: http://httpd.apache.org/docs/misc/FAQ.html#forbidden
#
<IfModule mod_userdir.c>
  	#
    # UserDir is disabled by default since it can confirm the presence
  	# of a username on the system (depending on home directory
  	# permissions).
  	#
    **#**UserDir disable
  	#
  	# To enable requests to /~user/ to serve the user's public_html
  	# directory, remove the "UserDir disable" line above, and uncomment
  	# the following line instead:
  	#
    **UserDir public_html**
</IfModule>

TopページはCGIで振り分けているので、CGIハンドラも登録。