IT - Yano's digital garage

は2件。MS04-027:WordPerfectコンバータの脆弱性はOfficeとWorksに係わるマイナーな問題だ。

MS04-028:JPEG処理の脆弱性はWebアクセスやメール添付のJPEG画像を表示するだけでも攻撃を喰らってしまう深刻な問題で、さらにWindows XPとServer 2003の他、Internet Explorerを含む多くのMS製アプリケーションに係わる広範囲な問題だ。

特にVisual Studioや.NET Framework SDKにも含まれるGdiplus.dllに問題が存在する事からマイクロソフトの言語製品で開発されたソフトウェア・コンポーネントにまで影響する可能性がある。Gdiplus.dllの5.1.3102.1355より古いバージョンがインストールされている場合は要注意だ。

いずれにしろ速やかに修正プログラムを適用しよう。多くのMS製アプリケーションを使っている人はMS04-028だけでいくつもの修正プログラムを適用する必要があり、これだけでも大仕事。ご苦労様と言うしかない。

参照

マイクロソフト http://www.microsoft.com/japan/ 2004年9月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms04-sep.mspx

日経IT Pro http://itpro.nikkeibp.co.jp/

今月のセキュリティ情報によるとMS04-018から024まで7件もの修正プログラムがリリースされている。

中でもタスクスケジューラの脆弱性(MS04-022)、HTMLヘルプの脆弱性(MS04-023)、Windows シェルの脆弱性(MS04-024)の３つはリモートからの攻撃を許す危険性の高い問題なので、直ちに修正プログラムを適用しよう。

なおInternet Explorerには未だ修正されていない欠陥が多く、厳重な注意が引き続き必要だ。

参照

ITmedia http://www.itmedia.co.jp/

月例アップデートを前に……IEに複数の深刻な脆弱性 2004年7月14日
MSの月例アップデート、IEに関する「緊急」の脆弱性に対応 2004年7月14日

日経IT Pro http://itpro.nikkeibp.co.jp/

「ポップアップ・ウインドウで画面表示を偽装できる」――IEでファイルをダウンロードするときには注意 2004年7月14日
Windowsに「緊急」のセキュリティ・ホールが2件，「重要」が3件 2004年7月13日
IEにパッチ未公開のセキュリティ・ホールが続出 2004年7月14日
パッチが公開されないIEのセキュリティ・ホール 2004年7月15日
Windows 98／Meのセキュリティ・ホールが「緊急」に変更，マイクロソフトはパッチを公開 2004年7月15日

TechNetセキュリティセンター http://www.microsoft.com/japan/technet/security/

Windows XP Service Pack 2 - 開発者向けセキュリティ情報 http://www.microsoft.com/japan/msdn/security/productinfo/XPSP2/

Web サイト構築における Microsoft Windows XP Service Pack 2 (SP2) への対応について

またmod_sslにもリモートからコードの実行を許す欠陥が報告されているので、早速修正版の 2.8.19-1.3.31 を適用するなり。

make xconfig
make bzImage && make modules
make modules_install
/sbin/installkernel 2.6.7 arch/i386/boot/bzImage System.map

でリビルドしたカーネルで起動すると、uncompress linux、auditときたとこで

Kernel panic: VFS: Unable to mount root fs on unknown-block(0,0)

というエラーになって起動できなかったのだが、結局/boot/grub/grub.confの

title Fedora Core (2.6.7)
  root (hd0,0)
  kernel /vmlinuz-2.6.7 ro **root=LABEL=/** rhgb quiet enforcing=1
  initrd /initrd-2.6.7.img

を明示的に

title Fedora Core (2.6.7)
  root (hd0,0)
  kernel /vmlinuz-2.6.7 ro root=/dev/hda2 rhgb quiet enforcing=1
  initrd /initrd-2.6.7.img

と修正し、取り敢えず起動するようになった。めでたしめでたし。しかしリビルドする度に/boot/grub/grub.confを手直しするのは面倒だなぁ…。

でもってやっとSecurityオプションを有効にしてリビルド→再起動すると滝のようなエラーメッセージにやる気消滅。他の項目もSecurityオプションを意識して見直さなくては…

で、取り敢えず起動に辿り着いた.configなり。

Download.Jectへの対応策として3日に書いた「Internet Explorer で ADODB.Stream オブジェクトを無効にする方法」だが、早くも不十分である事が指摘されている。

上記は欠陥を修正するモノではなく、あくまでも特定の手段によるダウンロードをできなくするだけでのモノであり、別のダウンロード手段が露呈すればそれまでの応急措置でしかなかった事は明らか。

インターネットがサーバーテロの場と化すのは時間の問題だと言われる昨今、ユーザーとして基本的にJavaScriptは使わないよう設定し自己防衛を心がけるべきだが、コンテンツ作成者側もJavaScriptを悪戯に乱用するのは慎み、戒めるべきだろう。

参照

ITmedia http://www.itmedia.co.jp/

Download.Ject問題の根はIEの「セキュリティモデル設計」にある 2004年7月6日
「MSのパッチは不十分」――専門家が実証コード公開 2004年7月7日
IEでまた別の欠陥――アドウェアがインストールされる問題は未解決 2004年7月8日

日経IT Pro http://itpro.nikkeibp.co.jp/

IEの“攻撃回避プログラム”は万全ではない，回避できない攻撃手法が公開されている 2004年7月5日

TechNetセキュリティセンター http://www.microsoft.com/japan/technet/security/

Download.Ject に関する情報 2004年6月25日

インストールした後放置していたFedora Core 2の環境構築。取り敢えずkernelの最新版2.6.7をgetしてきてリビルドを実行。

並行してsudoを駆使すべく/etc/sudoersに一般ユーザーアカウントを登録してみたのだが、sudoを実行すると「sudo: unable to exec /usr/sbin/sesh: Permission denied」というエラーに終わる。まぁrootと言えども何でも自由にできるわけではないSELinuxならではの動きに早くも躓いた形だ。取り敢えず放置。

kernelのリビルドはmake bzImage && make modulesまではうまくいったものの、make modules_installで

if [ -r System.map ]; then /sbin/depmod -ae -F System.map	2.6.7; fi
FATAL: Could not open 'System.map': Permission denied
make: *** [_modinst_post] エラー 1

となった。これも取り敢えず放置したものの、結果的には**“setenforce 0”**として一時的に規制解除して逃げる事に。

続いてsshベースのリモートコピーscpでportageからのファイル転送を試みたのだがどうもうまくいかない。opensslなどのバージョンが違うからかなぁ…と思って、fedoraのopensslとopensshをportageに合せてリビルドしたらめでたく解決。

コンソールエディタでも日本語が使えないとまいっちんぐなのでportageからnvi-m17nを持ってくる。ところがUTF-8には未対応という事で文字化けしてしまう….。結局UTF-8対応のvim 6.3を導入して無事解決。

参照

日経IT Pro http://itpro.nikkeibp.co.jp/

【セキュアOS SELinux入門】

第1回セキュアOSが必要な理由 2004年4月26日第2回ユーザーやプロセスの権限を厳格に管理 2004年5月17日第3回 Fedora Core 2をインストールしてSELinuxを利用する 2004年6月1日第4回 SELinuxの基本操作方法をマスターする 2004年6月15日第5回設定に関する基礎知識をマスターする 2004年6月29日

＠IT：Linux Square http://www.atmarkit.co.jp/flinux/

Unicodeのテキストファイルをほかの文字コードに変換するには 2004年5月22日
Fedora Core 2でカーネルを再構築するには 2004年7月1日

OpenSSL http://www.openssl.org/

オンラインバンキング等のログイン情報を盗む危険性が懸念されているトロイの木馬Download.Jectの対応策がマイクロソフトTechNetセキュリティセンターから示された。

簡単に言うとInternet Explorerの内部でファイルをダウンロード・アップロードするADODB.Stream機能を使用できなくするというものだ。

但しInternet Explorer で ADODB.Stream オブジェクトを無効にする方法に

多くのWebアプリケーションが、Internet Explorer 上でハードディスクへのファイルの読み書きを行う際に ADODB.Stream オブジェクトを使用していると考えられます。たとえば、イントラネットサーバーで、社員が既定の文書ファイルを必ずダウンロードして入力しなければならない場合、そのファイルをローカルコンピュータに保存する時に ADODB.Stream オブジェクトを使用します。ユーザーがそのファイルをローカルで編集した後、そのファイルをサーバーに保存する場合に、ADODB.Stream オブジェクトを使用してローカルのハードディスクから読み込み、サーバーへの保存をします。

と書かれているとおり、一部のwebアプリケーションの動作に支障が生じる可能性があるので要注意。その時はレジストリエディタでCompatibility Flagsの値を０にすれば復旧できるそうだ。

参照

ITmedia http://www.itmedia.co.jp/

新たなトロイの木馬攻撃で浮き彫りになるIEの危険性 2004年7月1日
Microsoft、Windowsの設定変更でIIS攻撃に対応 2004年7月3日

TechNetセキュリティセンター http://www.microsoft.com/japan/technet/security/

Download.Ject に関する情報 2004年6月25日
Internet Explorer で ADODB.Stream オブジェクトを無効にする方法 2004年7月3日ダウンロード > Critical Update for Microsoft Data Access Components - Disable ADODB.Stream object from Internet Explorer (KB870669) - 日本語 2004年7月3日

Webブラウザで一部のターゲットフレームに別のサイトを表示できてしまう問題が指摘されている。この問題を悪用してオンラインバンキングサイトの入力エリアを偽装したりすればIDとパスワードを簡単に取得する事が可能になり、危険性はかなり高い。

早速検証ページで確認したところ、Internet Explorerと、Opera 7.23日本語版、7.51英語版においてこの問題が再現する一方で、Mozilla 1.7日本語版、Mozilla Firefox 0.9.1日本語版ではこの影響を受けない。

これはブラウザのバグと言うよりHTML言語規格の不用意なルーズさに起因する問題であり、Webブラウザの実装（ベンダーの思想）に左右されているものと思われるので、HTMLフレームをサポートしているブラウザフォン、WebTV、セットトップボックス等にも影響を受けるものがあるかもしれない。

ちなみにInternet Explorerではセキュリティ設定にある**「異なるドメイン間のサブフレームの移動」という項目を無効にする事で制限できる。またインターネットゾーンのセキュリティ**を高にする事により同じ設定が適用されるので安心だ。

こちらの施策もサイトによってはオペレーションに影響を受ける恐れがあるが、そもそもフレーム内に別ドメインを表示するサイトなんてお粗末にも程がある。即刻切捨てるべし。

参照

ITmedia http://www.itmedia.co.jp/

IEにまた脆弱性、旧バージョンでは修正済みだがIE5/6には影響 2004年7月1日
フレーム詐称の問題はIE以外のWebブラウザにも 2004年7月2日

日経IT Pro http://itpro.nikkeibp.co.jp/

Secunia http://secunia.com/

SA11978:Multiple Browsers Frame Injection Vulnerability 2004年7月1日

2002年3月〜2003年7月に製造されたHP製およびCompaq製ノートPCのメモリの一部に設計上の不具合がある事が発表されている。

HPのリリースによると

ある特定の条件下で、これらのメモリ・モジュールが原因となり、ノートブック製品にブルー・スクリーンや間欠的ロックアップ（ハングアップ）などの問題を引き起こすことが稀にあります。

という事で、発熱したり燃えたりするような深刻なものではないようだ。

すでに2004年12月31日までの期間限定で無償交換プログラムが始まっているので利用すればよい。まずはHPのサイトにあるユーティリティで問題のメモリかどうかは判定し、もし該当するようならば交換用メモリ・モジュールを注文。到着後自分で交換する事になる。なお、問題の当該メモリを自分で交換・返却した人には32MBのUSBメモリドライブがもれなくプレゼントされる。リコール回収を勧めるために動機付けキャンペーンを実施するというのはナイスなアイディアだ。

一方でITmediaの記事によると

HPは特定のノートPC用メモリモジュールに、Intel製モバイルチップセットとプロセッサの電源管理技術を組み合わせた場合に動作不良を引き起こすという欠陥を発見した、とHP。　Samsung Electronics、Infineon Technologies AG、Winbond Electronicsのメモリモジュールが該当し、Micron Technologyにはメモリクロック同期に関する別の欠陥が問題となっているという。

という事から今回のリコール騒動はHPだけに留まらず、同時期に作られた他社ノートPCにも影響する可能性がある。

回収騒動そのものは喜ばしい事ではないが、株主総会でもケチョンケチョンにやられた某自動車メーカーの例もあり、メーカーの信頼度を量るのには最適の機会と捉える事もできる。そういう視点から他社の動向にも注目したい。