マイクロソフトからWindows XP／NT4／2000／Sever 2003に外部から攻撃を受ける非常に深刻なセキュリティホールがある事が明らかにされた。

基本的には全てのWindowsで使用されるファイルやプリンタを共有する時に利用されるリモート・プロシージャ・コール（RPC）コンポーネントにバッファオーバーランの脆弱性があり、ネットワークから悪質なプログラムを実行されてハードディスクをフォーマットされたり、ワームに感染したりする危険性があるということだ。

特に今回の脆弱性は、ユーザーがHTMLメールを開いたり悪意のあるサイトにアクセスしたりしなくても、ネットワークに接続しているだけで攻撃を受ける危険性があるという事で事態はかなり深刻。

そもそもファイアウォールやブロードバンドルーター等でRCPポート(135/TCP)をブロックしていれば外部から攻撃を受ける事は無いので、常日頃からセキュアなネットワーク環境を構築していればそれほど大騒ぎする必要は無い。

でも過信は禁物で**「会社はファイアウォールがあるので大丈夫」**と油断してると痛い目に遭うのは世の常。自宅や出先の環境でやられたモバイルマシンを会社でLANに接続したりして、内部から思わぬ反乱が発生する事は決して珍しい事ではない。

そういう点に注目すると、ダイアルアップやブリッジ接続等でインターネットに接続している個人ユーザーは要注意だ。大至急修正プログラムを適用しなければならないのは言うまでもないが、パーソナルファイヤーウォールを導入するか、さもなくばネットワーク共有サービスを「使用しない」設定にする事を強くオススメする。

なおWindows Meについてはこの問題が発生しない事が検証されているが、Windows 95/98は既にサポート期間が終了している為にこの問題の影響を受けるかどうかは検証すらされていない。どちらかと言えばWindows Meの系列なので問題は無いだろうと予想されるが、今後の事を考えると速やかにバージョンアップする事が望ましい。

Windows XPについてはもう1件、「Windows シェルの未チェックのバッファによりコンピュータが侵害される (821557) (MS03-027)」という修正プログラムが出ているのでついでに。

参照

ITmedia news -WindowsのRPCプロセスに「緊急」の脆弱性 2003年7月17日

日経IT Pro -Windowsにまたもや深刻なセキュリティ・ホール，マシンを乗っ取られる恐れあり 2003年7月17日

マイクロソフトTechNetセキュリティセンター

-「MS03-027: Windows シェルの未チェックのバッファによりシステムが侵害される (821557)」に関する要約情報 -「MS03-028: ISA Server のエラー ページの問題により、クロスサイト スクリプティング攻撃が実行される (816456)」に関する要約情報

Webアクセスが可能な最近の携帯電話ではauでは**「subscriber ID」、J-PHONEでは「ユーザーID」**という契約者識別子が利用されるようになっているそうな。

これはセッション管理にcookieが使えないから…等という内部事情が発端となったようだが、この契約者識別子は電話番号と同じく、サイトを越えて一意なIDになるのでプライバシーの問題をはらんでいる。

例えば航空券やホテルの予約をしたら契約者識別子と氏名や電話番号との対応表が個々のサイトにできる。またネット通販で本やCDなどを買ったらクレジットカードの情報や趣味嗜好までも紐づけられるかも知れない。

ま、ここまではcookieでも同じ事なのだが、サイトを越えて一意なIDがもたらすプライバシーの問題は、それらの情報が一ヶ所に集まると契約者識別子で結びつけられる事にある。

例えば占いやアンケートなどのサイトで集められる匿名の職業や年収情報でも、契約者識別子で第三者から入手した情報と紐付ける事ができれば価値は格段に高まる。ぶっちゃけて言うと「高く売れる」わけだ。

ただ問題があるとは言っても、契約者識別子を無くして今さら携帯から航空券やホテルの予約ができなくなるのは不便。基本的には信頼できない事業者にも契約者識別子を送出するのが問題なので、ユーザーが識別子の送出可否を随時選択できたり、少なくとも契約者識別子の変更ができるようにすべきだろう。

ちなみにauの**「subscriber ID」はEZwebオプションを一旦解約して再登録すれば変るようだが、J-PHONEの「ユーザーID」**は製造番号なので変更不可。しかもデフォルトで「ユーザーID通知する」設定なので、取り敢えず「通知しない」ように変更をすべきかも。

技術的にはDoCoMoが導入を始めた「FirstPass」ではサイト側の敷居も設定されている事から最も良さげだが、現実的には複数の携帯を使い分けるのが一番無難だったりして。

参照

高木浩光＠茨城県つくば市 の日記 -J-PHONEの「ユーザーID通知設定」を試した 2003年7月10日 -ツーカーセルラー東海に期待 2003年7月9日 -とうとうsubscriber IDの収集が始まったのか？ 2003年7月8日 -EZwebのsubscriber IDを変更するには 2003年7月1日 -通信キャリアの独占型PKIは安全なのか 2003年6月24日

ITmedia news -ドコモ、FOMA向けクライアント認証サービス「FirstPass」 2003年6月20日

DoCoMo -FOMAによるクライアント認証サービス「FirstPass」を提供開始 2003年6月20日

ITXイー・グローバレッジ株式会社が始めたサーバー向けの電子メールの浄化（アンチウィルスとスパムブロック）を行うサービス。基本的には有料のサービスなのだが、

福祉関係・自然保護等の活動を行っている各種団体やNPOが所有するドメイン、ならびに個人が所有・運用する非営利のドメインについては、有料サービス開始以降も無料でEPOCサービスをご利用頂けます。

という事なので、早速bravotouring.com でも試している。

DNSのMXを代行する形になるだけなので仕掛けは至って簡単。手続きもWebフォームでドメイン等の情報を登録した後に、メールで通知されるURLにアクセスするだけで完了だ。

Webページで解説されている通りにEPOC側でbravotouring.com宛の転送設定が効いている事を確認してから、tinydnsの設定を変更して万事OK。

SPAMは相変わらずやってくるが、Klezだけでもフィルタリングしてくれればありがたい事だ。

ツール・ド・フランスネタ。昨夜のラルプ・デュエズのヒルクライムで力強いアタックを仕掛けて成功したイバン・マヨは新しい力の台頭を感じさせるに十分なパフォーマンスだったが、対して積極的に動く気配を見せなかったランス・アームストロングはマイヨに袖を通したもののちょっと生彩に欠けるような。

今夜はビノクロフの二夜続けてのラストスパートに釘付け。アームストロングも動いてやっと面白くなってきたな〜。

参照

ITXイー・グローバレッジ株式会社 -EPOCから始まる電子メール浄化サービス

JSkySports -ツール・ド・フランス

朝から時折激しく降る雨にすっかり引篭ってCATVでスポーツ観戦三昧。我らが福岡ダイエーホークスは西武ドームであの松坂から快勝。これで天王山、対ライオンズ3連戦を豪快に3連勝して首位で前半戦を終了だ。

今シーズン、和田・新垣のルーキー２人の活躍は言うまでもないのだが、遅咲きの花をやっと咲かせた斉藤和巳とここ数年パッとしなかった篠原貴行の復活が一番嬉しい。小久保を欠いて多少不安のある打撃陣も、韋駄天村松が復活して初優勝した1999年を髣髴とする勢いが感じられてきた。

今年はいけそうな気がする!!

さてセリーグでは大方の予想を裏切って阪神タイガースが独走。しかも46のマジックナンバーを点灯して前半戦を折り返すなど誰が予想できただろうか？

アンチ主流のYANOさんとしては巨人が負けるという事自体は悪くないけど、こんなに早くに決着が付いて後半戦がつまらなくなってしまうのは本意ではない。ただ日本シリーズにフォーカスすると、早々に優勝を決めて緊迫感を失った阪神タイガースに対して、最後までペナントレースを争った勢いそのままに福岡ダイエーホークスが日本一に輝くという展開も期待できるので、あながち悪くないかもしれないな、等と考えるのは獲らぬ狸の何とやら。

ツール・ド・フランスもガリビエ峠を越えてラルプ・デュエズに達するヤマ場。選手の走りもさることながら、魅惑的なアルプスの風景には目を奪われてしまう。死ぬまでには走っておきたいとこだなぁ…、もちろんモーターサイクルの方でね。

さぁ、ラルプ・デュエズへのヒルクライムに入って昨日活躍したリシャール・ビランクは脱落。王者ランス・アームストロングは動くのか！？

参照

CANAL LE TOUR (公式サイト)

トレック -‘03 ツール・ド・フランス

JSkySports -ツール・ド・フランス

4月の歓迎オフ以来、5月の観蛍、6月のイカ喰いと続いたFTABI九州支部(と言ってもビラすずご夫妻とYANO、以外は+αなのだが)の闇オフ。

帰省した時に肩身の狭い思いをさせる事の無いように、というわけで7月は博多祇園をテーマに。さすがにクライマックスの『追い山』は平日早朝という事で二の足を踏み、今年はうまい具合に土曜日に当った『追い山ならし』を舞台に設定。

スタートの30分前、15時半に祇園町に集合。小降りになったところを見計らって、古き博多の雰囲気が残る街並みをご案内がてら、御供所町から上呉服町に移動。

16時10分に一番山笠の中州流が視界に入ってきた。と思ったら、狭い道路に覆い被さるような軒先をかすめて、あっという間に駆け抜けて行く。「オイサッ、オイサッ」の勇ましい掛け声と、勢い水の蒸発する何とも言えない匂いが、今年も博多に熱い夏がやってきた事を告げているようだった。

五番山あたりまで観た後は、大博通りに移動。片側3車線の道路を幅一杯に拡がって走る集団はまた先ほどのそれとは違った大迫力。先ほど通り過ぎて行った山笠ももう一度観られるので、効率も良く一粒で2度美味しい見方だ。

ここで七番山笠の東流まで見送った後、八番山笠が来そうに無かったので土居通り方面へ移動。もう一度東流を見送ってから川端通り商店街へ。

明治以来電線の存在から低く小さくなった舁き山が祇園山笠の象徴となっているのだが、高さ10m近い山笠を舁いている事から「走る飾り山笠」と呼ばれている上川端通の八番山笠が実は伝統的な博多祇園山笠なのだ。重量も半端ではない為にクライマックスの『追い山』でも櫛田入りはするものの全コースを走ることはなく、なかなかTVでも観る事の少ない貴重な存在だと言えよう。

そんな八番山笠を戻ってきたところを拍手で迎えて『追い山ならし』ステージを終了した。

その後はちょっと博多リバレインのシアトルズベストコーヒーで一服した後、中州のオープンキッチンへ。何年ぶり？というイタリアンなディナーと洒落る。お手軽なワイワイセット2500円(→キャンペーン価格2000円)を選んだのだが、前菜盛り合わせ・パスタ・サラダ・肉or魚・デザートと相手にとって不足無し。しかも全品ボリュームがあって、ここはオススメ。

欧風料理の店 オープンキッチン 11:45〜14:00、18:00〜22:00 日祝定休
福岡市博多区中洲5-2-3松居壹番館別館2F TEL:092-282-0030

最後は歌姫お待ちかねの福岡デビューステージ。ご当地シンガーを中心に3時間たっぷり歌っていただきました。特等席で聴かせて頂いたのは役得という事で(笑)。

というわけで今日はFTABIの内輪ネタ。わからない人には悪しからず。m(__)m

参照

博多リバレイン

中州町観光協会 -博多祇園山笠

西日本新聞 -博多祇園山笠

フセイン元大統領と並んで、いまだに痕跡すら見つからぬイラクの大量破壊兵器。

米国防長官は上院軍事委員会の公聴会で「開戦前にイラクの大量破壊兵器について新たに劇的な証拠は持っていなかった」と述べたそうな。つまりフセイン政権が過去に化学兵器を使用した事などから「大量破壊兵器の脅威がある」と言ってたわけで、「大量破壊兵器が存在している」と言っていたわけではない、と暗に言っているという事か。

今回の大量破壊兵器の問題は、止むに止まれず米国政府が痕跡をでっち上げ、それをメディアが暴いてラムズフェルドかパウエルの首が飛んだところで茶番の幕を閉じるものと思っていたのだが、意外にあっさり認めるとはちょっとビックリ。でも中途半端な展開だなぁ。

ちなみに**「大量破壊兵器」という言葉は“犯罪技術関係の有害情報データベース”**に登録されているそうで、会社などのwebフィルタリング環境によってはこのページもアクセス制限に引っかかって観られなくなる場合があるという事。

などという話を聞いて「世間には本質を無視した(効率優先の)フィルタリングが横行しているんだなぁ」というのがわかった、というのが今日の本題だ。みなさんのとこのフィルタリングポリシーは大丈夫ですか？

そゆわけで、観られなくなった人がいたら教えてください。なおプロクシ経由やIPアドレス指定だとフィルタリングを回避できるという話しもあるのだが、その程度のフィルタリングソフトってのも、それはそれで困ったちゃんだなぁ。

参照

asahi.com -大量破壊兵器「イラク戦争前に劇的証拠なし」　米長官 2003年7月10日

セキュリティホール memo -「有害情報データベース」話 2003年7月11日

マイクロソフトからWindowsに３つのセキュリティホールがある事が明らかにされた。

特に全てのWindowsが対象となるMS03-023は、WebページやHTMLメールを閲覧しただけで攻撃プログラムを実行されてパソコンが乗っ取られる危険性がある深刻な問題だ。全てのWindowsは大至急修正プログラムを適用しよう。

なおMS03-025はWindows 2000のみの問題で、MS03-024,MS03-025に関しては先日リリースされたWindows 2000 SP4 でも対処されている、という事だ。

参照

日経IT Pro -Windowsに3種類の深刻なセキュリティ・ホール，すべてのユーザーが対策を 2003年7月10日

マイクロソフトTechNetセキュリティセンター -「MS03-023: HTML コンバータのバッファ オーバーランにより、コードが実行される (823559)」に関する要約情報 -「MS03-024: Windows のバッファ オーバーランによりデータが破損する (817606)」に関する要約情報 -「MS03-025: ユーティリティ マネージャによる Windows メッセージ処理の問題により、権限が昇格する (822679)」に関する要約情報

帰り道、ちょいと用があって天神へ。讃岐うどんの**『田』でぶっかけ****450円を喰って中州**に戻ったところで聞こえてきた「オッショイ、オッショイ」の掛け声。

「そういえば今日は**“お汐井取り”やん」と思わず後をつけて一枚パチリ。真っ直ぐ帰ってたら箱崎浜での“お汐井取り”**風景が撮れたかも、と思うとちょと残念。

やっぱり祇園山笠は戸畑が一番だし〜とは言うものの、威勢のいい掛け声を聞くと血が騒ぐのは祭り好きな福岡県人としての性と言うしかないか。

明日はいよいよ山笠の試運転とも言える「流れ舁き」。舁き出しは17時でおよそ1時間弱の行程だが、定時で脱兎のごとく飛び出しても間に合うかどうかというところ….ていうか、無理。

ならばいい具合に陽も暮れてきたので那珂川に映るネオンの写真でも撮ってみるか！、と三脚無しでの撮影に挑戦。橋の欄干頼りで何とか撮ってみたが、欄干に置いたところで手で握ったままではブレてしまいダメダメであった。人間、時には諦めも肝心。

Internet Explorer 6 のアドレスバーに c:\aux と入力すると Ie がフリーズする、というウソのようなホントの話。

Windows 9xで “c:\con\con” にアクセスするとWindowsが落ちた、通称 “conconバグ” (そのまんま…か)を髣髴とさせる、ていうよりも対岸の火事じゃあるまいし過去の苦い経験は活きてないのか？と小言の一つも言いたくなるような。こういう歴史は繰り返すなよ。

乗っ取りや情報漏洩等の重大なセキュリティホールでこそないが、ブラウザクラッシャとしては最も簡単な手段だし、スクリプトと組み合わせたらパソコンそのものを使用できなくするDoS攻撃に発展させる事もできるので笑って済ませられる問題ではない。

修正プログラムはまだ公開されていないが、BIOS設定やデバイスマネージャで全てのシリアルポートをDisableにすればフリーズする事は防げるそうなので早速….ていうか、ウチのマシンは元からそうなってるし。(^^)v

で…落ちなくなるのはいいとして、やっぱりデフォルトセキュアの原則からすると**「auxを開くアプリケーションを…」**っていきなり実行しようとするのはイケナイ事だと思います。早く直してよ＞マイクロソフト

ちなみにOpera 7.11では落ちたり固まったりする事はなく、タイムアウトエラーになるだけだ。とは言うものの、OperaはOperaで「単純なHTMLコードで起こるDoSの脆弱性」という問題もあるし、それ以前に頻繁に落ちるというのに閉口しているのだが….。取り敢えずMDIbrowserかSleipnirが無難かな。

参照

ITmedia news -Internet Explorer 6が「c:\aux」でフリーズするバグ 2003年7月8日 -Windows 95/98を簡単に落とす“CONCON問題” 2000年2月28日

セキュリティホール memo -concon バグ再び? …

full-disclosure -[Full-Disclosure] Internet Explorer 6 DoS Bug 2003年7月7日

:: Operash :: -[Opera 7] 単純なHTMLコードで起こるDoSの脆弱性 2003年7月1日

MDIBrowser配布用ページ

sleipnir＠BearFactory

5日にパリをスタートしたツール・ド・フランス。言わずと知れた世界最高峰のステージレースで、自転車少年時代は「サイクルスポーツ」誌で約2ヶ月遅れの結果を楽しみにしていたのだが、100周年を迎えた今年ついに極東の島国に居ながらライブ中継で観られるようになったというのは何とも感慨深いものがある。

ジロでも好調だったペタッキが第1ステージを獲って存在をアピール。イノーやインデュラインに並ぶ5連勝を目指す注目のアームストロングは11位といい位置に着けて虎視耽々というところか。今週末には早くもアルプスステージで13日(日)にはラルプ・デュエズで文字通り前半戦の山場を迎える。なわけで暫くはTVに釘付けの日々が続きそうな気配。願わくば1996年の今中大介以降途絶えている日本人選手の出場が待ち遠しいなぁ。

それにしても昨日からの蒸暑さには閉口してしまう。雷鳴轟く七夕の夜、ってちょっとどうよ？

参照

CANAL LE TOUR (公式サイト)

トレック -‘03 ツール・ド・フランス

JSkySports -ツール・ド・フランス

日経 BizTech -ヤマハ発、07年までに2輪車すべてに電子制御燃料噴射装置搭載 2003年7月3日