皆様、セキュリティホールは埋めとけよ

日々発見されるセキュリティホール。
その情報を一人であつめるのは大変です。情報の共有をしましょう。
先人達が埋めてくれた穴は、ありがたく反映させていただきましょう。

http://www.redhat.co.jp/support/errata/rh72-errata-security.html
http://www.turbolinux.co.jp/security/
http://www.vinelinux.org/errata/2x/i386.html
http://www.debian.org/security/

ML等からの情報もよろしく

2ｹﾞﾄｰ（・∀・）

こうやって並べてみると、Debianが一番対応早いな。
2,3日遅れでRedHat、ついでTurboか。
Vineのatとrsyncの対応はどうなってるんだ？

>>3
うち、Debianじゃないんだけど
apt-get upgrade
をcronさせとけば勝手に埋まりそうで良いなぁ〜
でも、これって「隣の花は赤い」みたいなものかなぁ・・・

自動実行すると、設定ファイルがデフォルトに戻ってしまってそれがかえって
穴になってしまうってことは無いのかな？

>>5
DebianだとConffileはどうするか決められるでしょ

>>6
　やはり　Debian 強いね。

　そういうおれは、手動アップの　厨房な夜

cron で upgrade すると対話的な質問のところで止まるという罠。

2/5 Vine-errata

version-up
at-3.1.8-23vl0.1.i386.rpm

security-hole
uucp-1.06.1-31vl0.i386.rpm
rsync-2.4.1-2vl1.i386.rpm

Turbolinux
2002-02-01 mozilla 任意のホストのクッキーが不正に取得されてしまう

関連スレッド
http://pc.2ch.net/test/read.cgi/unix/995966668/

彼女のセキュリティーホールを守るにはどうしたらいいですか？

>>12貞操帯

>>13 予防的手段だけに頼ってはいけない。
インテグリティーチェックと定期的なログ監査。事後対策も忘れずに！

>>12
常時自分がログインしておくというのは？

>>12
電源切っとけ。

SNMPセキュリティーホールage。
つーか、使ってる人いるのか？
使わんのだったら、パケジ消しとけ。
http://www.debian.org/
http://www.turbolinux.co.jp/security/

at, uucp, ucd-sntpなんて個人でLinuxやってる場合は要らんとおもう

net-snmp 4.2.3をtar玉から入れてる人は
snmpnetstatのfixパッチも当てたほうがエエぞ
fixパッチはredhatのSRPMから頂くとよろし

uucp、ucd-snmpはともかく、atは...まぁ、無くてもこまらんか。

ともかく、RPM系のディストリビューションで、「全部」とかで
インストールしてると、入ってる可能性大だから、用チェック
かとおもうですはい。

ipchainsの設定をしてみました。この設定はどうでしょうか？

# ipchains -nL
Chain input (policy ACCEPT):
target prot opt source destination ports
fw all ------ 0.0.0.0/0 0.0.0.0/0 n/a
Chain forward (policy DENY):
target prot opt source destination ports
MASQ all ------ 192.168.1.0/24 0.0.0.0/0 n/a
Chain output (policy ACCEPT):
Chain fw (1 references):
target prot opt source destination ports
ACCEPT tcp ------ 0.0.0.0/0 0.0.0.0/0 * -> 25
ACCEPT tcp ------ 192.168.1.0/24 0.0.0.0/0 * -> 0:1023
ACCEPT udp ------ 192.168.1.0/24 0.0.0.0/0 * -> 0:1023
DENY tcp ------ 0.0.0.0/0 0.0.0.0/0 * -> 0:1023
DENY udp ------ 0.0.0.0/0 0.0.0.0/0 * -> 0:1023

>>22
スレ違い。質問スレでやっとけ。

http://www.turbolinux.co.jp/security/php-4.1.2-1.html
PHPボロボロだな

3/6 Vine-errata

security hole
squid-2.3.STABLE5-0vl2.i386.rpm

zlib祭りだYO!
http://www.linuxsecurity.com/articles/security_sources_article-4582.html
http://www.kb.cert.org/vuls/id/368819

http://www.zdnet.co.jp/news/0203/12/e_linux.html

zlib祭り会場はどこですか？

>>28
あなたのおうちの犬箱です

ftp.mozilla.orgが繋がらないのはzlib祭りのお陰ですか？

http://www.kb.cert.org/vuls/id/368819
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2002-0059
http://www.gzip.org/zlib/advisory-2002-03-11.txt
http://slashdot.jp/article.pl?sid=02/03/12/1325239&mode=nested
http://www.ipa.go.jp/security/news/news.html
http://www.st.ryukoku.ac.jp/~kjm/security/memo/2002/03.html#20020312_zlib

3/12 Vine-errata

security hole
openssh-2.9.9p2-0vl0.3.i386.rpm
openssh-clients-2.9.9p2-0vl0.3.i386.rpm
openssh-server-2.9.9p2-0vl0.3.i386.rpm
openssh-askpass-2.9.9p2-0vl0.3.i386.rpm

げー、zlibやばいなぁ。ローカルからの攻撃には無力っぽいね。
ブラウザ経由の攻撃もできるのかなぁ...
(不正なPNG送るとかで)

mod_gzipとかやばそうだね

>>33
まぁ何はなくともさっさとzlibを更新(-> 1.1.4)することだね。
pngやgzipを直接解釈するようなサーバでもない限り外部からの攻撃は受けない
だろうし、apacheをrootで動かしてるような豪快な奴も居ない（と信じたい）
だろうから、あまり大きな問題にはならないだろうけど。

bugtraqに出てたH D Moore氏のpngの画像を
XEmacsでプレビューしたらXEmacsが落ちたYO!

>>36
サンプル画像はここにもあるYO!
http://www.digitaloffense.net/openssh_zlib/

>>36
他力本願で申し訳ないが、coreとか調べてみました？
結局どーなってどーなっちゃうのかよくわからんもので・・・。
stackoverflowと同様だと思ってればいいのかな〜

apache って root で動かすとやばいの？

>>39
そりゃやばいだろ (;´Д`)

>>38
XEmacs(bamboo)はsignal 11で落ちたみたい
coreはあるけどgdb扱える能力無いのよ。すまん
で、zlib最新にしてlibpngリコンパイルしたら落ちなくなったYO!

Debian セキュリティ HOWTO
http://www.jp.debian.org/doc/manuals/securing-debian-howto/

3/21 Vine-errata

security hole

zlib-1.1.3-25vl0.i386.rpm
zlib-devel-1.1.3-25vl0.i386.rpm

cvs-1.11.1p1-7vl0.i386.rpm
dump-0.4b19-5.6x.1.i386.rpm
dump-static-0.4b19-5.6x.1.i386.rpm
kernel-2.2.19-0vl0.24.i386.rpm
kernel-2.2.19-0vl0.24.i586.rpm
kernel-2.2.19-0vl0.24.i686.rpm
kernel-BOOT-2.2.19-0vl0.24.i386.rpm
kernel-doc-2.2.19-0vl0.24.i386.rpm
kernel-headers-2.2.19-0vl0.24.i386.rpm
kernel-ibcs-2.2.19-0vl0.24.i386.rpm
kernel-pcmcia-cs-2.2.19-0vl0.24.i386.rpm
kernel-smp-2.2.19-0vl0.24.i386.rpm
kernel-smp-2.2.19-0vl0.24.i586.rpm
kernel-smp-2.2.19-0vl0.24.i686.rpm
kernel-source-2.2.19-0vl0.24.i386.rpm
kernel-utils-2.2.19-0vl0.24.i386.rpm
rmt-0.4b19-5.6x.1.i386.rpm
rpm-3.0.6-0vl2.1.i386.rpm
rpm-build-3.0.6-0vl2.1.i386.rpm
rpm-devel-3.0.6-0vl2.1.i386.rpm
rpm-python-3.0.6-0vl2.1.i386.rpm
popt-1.5.1-0vl2.1.i386.rpm
rsync-2.4.1-2vl2.i386.rpm
sash-3.4-2vl0.i386.rpm
info-4.0-5vl0.i386.rpm
texinfo-4.0-5vl0.i386.rpm

3/21 Vine-errata

security hole

apache-1.3.23-0vl0.1.i386.rpm
apache-devel-1.3.23-0vl0.1.i386.rpm
apache-manual-1.3.23-0vl0.1.i386.rpm
mod_ssl-2.8.7-0vl0.1.i386.rpm

fileutils-4.0x-1vl4.i386.rpm