皆様、セキュリティホールは埋めとけよ

日々発見されるセキュリティホール。
その情報を一人であつめるのは大変です。情報の共有をしましょう。
先人達が埋めてくれた穴は、ありがたく反映させていただきましょう。

http://www.redhat.co.jp/support/errata/rh72-errata-security.html
http://www.turbolinux.co.jp/security/
http://www.vinelinux.org/errata/2x/i386.html
http://www.debian.org/security/

ML等からの情報もよろしく

http://online.securityfocus.com/archive/1/299704/2002-11-10/2002-11-16/0
よりによって libpcap に仕込むとはねぇ...(((；ﾟДﾟ))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

11/14 Vine-errata security hole

glibc-2.2.4-14vl12.i386.rpm
glibc-common-2.2.4-14vl12.i386.rpm
glibc-devel-2.2.4-14vl12.i386.rpm
glibc-profile-2.2.4-14vl12.i386.rpm
nscd-2.2.4-14vl12.i386.rpm

caching-nameserver-7.1-3vl3.noarch.rpm

11/15 Vine-errata security hole

bind-8.3.1-0vl2.i386.rpm
bind-devel-8.3.1-0vl2.i386.rpm
bind-utils-8.3.1-0vl2.i386.rpm

ttp://www.zdnet.co.jp/enterprise/0211/19/n29.html
>　インターネット・セキュリティ・システムズ（ISS）の勧告とは裏腹に、さ
>まざまな「アンダーグラウンド」グループが、少なくとも8月の時点でこの脆
>弱性を認識していた。筆者が初めてそれを知ったのも、最初の侵入が話題に
>なった8月のことである。

マ　ジ　で　す　か　？

>>1-242
OpenBSD 3.2-Stable版をインストールする事で一件落着!!!


--------------------キリトリセン--------------------

>>243
OpenBSD のデフォルトの設定がいくら堅くても、その後の
設定をミスれば、簡単にセキュリティを弱くできるので、盲信じゃ、
やめた方がいいじゃろう。

少なくとも、他のディストリとか BSD や Solaris などの穴は、
見ておくべき。

>盲信じゃ、やめた方がいいじゃろう。
｢盲者じゃ｣という前置きが無ければね。
まあ、設定ミスるアホは使うなという事だな。
ミスりたくなければ、Win2kでも使ってりゃ良いだろ。

( ´_ゝ`)ﾌｰﾝ

D J B を 使 え

11/23 Vine-errata security hole

kernel-2.4.19-0vl26.i386.rpm
kernel-2.4.19-0vl26.i586.rpm
kernel-2.4.19-0vl26.i686.rpm
kernel-BOOT-2.4.19-0vl26.i386.rpm
kernel-doc-2.4.19-0vl26.i386.rpm
kernel-headers-2.4.19-0vl26.i386.rpm
kernel-smp-2.4.19-0vl26.i386.rpm
kernel-smp-2.4.19-0vl26.i586.rpm
kernel-smp-2.4.19-0vl26.i686.rpm
kernel-source-2.4.19-0vl26.i386.rpm

New kernel 2.2 packages fix local denial of service issue

http://rhn.redhat.com/errata/RHSA-2002-264.html
> The kernel in Red Hat Linux 6.2 and 7 is vulnerable to
> a local denial of service attack.

11/27 Vine-errata security hole

w3m-0.3.2.1-0vl0.26.i386.rpm

「もっともセキュリティが弱いOSはLinux，Aberdeen Groupがレポート」
http://itpro.nikkeibp.co.jp/free/NT/NEWS/20021127/1/

Canna3.6p1 ｷﾀ━━━━(ﾟ∀ﾟ)━━━━ｯ!!

> Canna 3.6p1をリリースしました(2002/12/02)。
> これはセキュリティ修正のみを行ったリリースです。

12/02 Vine-errata security hole

Canna-3.6p1-0vl1.i386.rpm
Canna-devel-3.6p1-0vl1.i386.rpm
libcanna-3.6p1-0vl1.i386.rpm

>>243
>>243
デフォールト設定がOpenBSDよりも固いOSは、今ではいくらでもあるぞ。

OpenBSDの登場当初は確かに、デフォールト設定が最もセキュアなOSだった
けど、その思想が広まった今では、どちらかといういうと、デフォールト設定
が甘いOSになっちゃったんじゃないの? いまだにデフォールトでsshdを起動
しておくなんて正気とは思えん (OpenSSH のサーバー側に、ここ2年でいくつ
remote hole が見つかったのやら...)。それとも、OpenBSD の最新版では
sshd やら portmap やらを起動しなくなったの?

12/03 Vine-errata security fix

glibc-2.2.4-14vl13.i386.rpm
glibc-common-2.2.4-14vl13.i386.rpm
glibc-devel-2.2.4-14vl13.i386.rpm
glibc-profile-2.2.4-14vl13.i386.rpm
nscd-2.2.4-14vl13.i386.rpm

>>256
和訳
窓でソフトウェアのインストールができるようになりました
窓でインターネットの設定ができます
窓パソコンを自作できます
VC++使って開発をやっています
窓で毎日２時間チャットをやってます
Linux?ああ、あのオタ向けのOSですね。（使ったことはない）
Linux?対応する周辺機器、ソフトが少なくて使い物になりませんよ
Linux?インストールだけで苦労して後は使い物にならないダメOSでしょ

な感じかなー？今までの経験からして。

>>256
原文：
窓でちょっとばかりの知識にしがみついた人が
リナを見下したくて貼っている

和訳：
セキュリティ面で色々言われていたWindowsユーザーが、
ここぞとばかりにLinuxを見下したくて貼っている。
（ついでにWindowsは設定が簡単なので、Windowsユーザーは知識が乏しい
と言ってみるテスト）

>>259
あぁ、そう言ってしまうと身も蓋もないから避けてたのになぁ。(^_^;)

（×）255
（○）254

> Linux?ああ、あのオタ向けのOSですね。（使ったことはない）

ま、プロ向けかアマ向けか、ちゅーことですな。
本当のプロは商用Unixでがっぽり稼ぐ、いう話もあるが。

ああ、またやってもた。
俺ってバカ。

>>262 氏ね

BSD:東工,慶応矢上,奈良
Linux:会津

12/10 Vine-errata security hole

w3m-0.3.2.2-0vl0.26.i386.rpm

http://www.phatlinux.com
phat linux逝った？

ftp://ftp.openssl.org/source/

openssl-0.9.6h.tar.gz

何だ？openssl-0.9.6h.BOGUS.tar.gz ってのは。

>>268
diff とってみ。

ってか、patch置いてあるし。
しかもバージョン番号age忘れただけという・・・。

おなまえをいちいち考えなくていいからfusianasanっていいよね♪
最初ね、かぶっちゃったこともあったしでもあいぴーっていうのはかぶらないんだね♪

>>361
平壌放送。N速にウェー、ハッハッハッスレあるから探してみ。

1/8
Debian Security Advisory
DSA-224-1 canna -- buffer overflow and more

Debian Security Advisory
1/10
DSA-226 xpdf-i integer overflow
1/9
DSA-225 tomcat4 source disclosure

（＾＾）

Debian
1/17] DSA-231 dhcp3 stack overflows
1/16 DSA-230 bugzilla insecure permissions, spurious backup files
1/15 DSA-229 imp SQL injection
1/14 DSA-228 libmcrypt buffer overflows and memory leak
1/13 DSA-227 openldap2 buffer overflows and other bugs

Debian
1/23
DSA-240 kdegames several
DSA-239 kdesdk several
DSA-238 kdepim several
DSA-237 kdenetwork several
1/22
DSA-236 kdelibs several
DSA-235 kdegraphics several
DSA-234 kdeadmin several
1/21
DSA-233 cvs doubly freed memory
1/20
DSA-232 cupsys several

Debian
1/24
DSA-243 kdemultimedia several
DSA-242 kdebase several
DSA-241 kdeutils several

Debian
1/31
DSA-248 hypermail buffer overflows
1/30
DSA-247 courier-ssl missing input sanitizing
1/29
DSA-246 tomcat information exposure, cross site scripting
1/28
DSA-245 dhcp3 ignored counter boundary
1/27
DSA-244 noffle buffer overflows

Debian
2/14
DSA-251 w3m missing HTML quoting
2/12
DSA-250 w3mmee-ssl missing HTML quoting
2/11
DSA-249 w3mmee missing HTML quoting

OpenSSL Security Advisory [19 February 2003]
Timing-based attacks on SSL/TLS with CBC encryption

http://www.openssl.org/news/secadv_20030219.txt

Debian
2/24
DSA-253 openssl information leak
2/21
DSA-252 slocate buffer overflow

Sendmail における深刻なセキュリティ脆弱性について
http://www.ipa.go.jp/security/ciadr/20030303sendmail.html

Sendmailのヘッダー処理に対する脆弱性
http://www.isskk.co.jp/support/techinfo/general/SendmailHeader_xforce.html

Remote Sendmail Header Processing Vulnerability
http://www.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=21950

CERT Advisory CA-2003-07 Remote Buffer Overflow in Sendmail
http://www.cert.org/advisories/CA-2003-07.html

http://www.agemasukudasai.com/bloom/

>>283-284
洒落にならんな、これは。

洒落にならんけど、不要に煽る香具師もどうかと :-)

だれが不要に煽ってるんだ？ 被害妄想だろ。

http://pc3.2ch.net/test/read.cgi/jisaku/1044958245/l50
1を自殺に追い込むスレ

http://www.vinelinux.org/errata/25x/i386.html
に出ている「sambaのセキュリティホール」ってのは、

Vine 2.1.5 以下には関係無いの？？
http://www.vinelinux.org/errata/2x/i386.html

あ、補足です。>>290は、
http://www.vinelinux.org/errata/25x/i386.html
の2003,05,17 付けの方の「sambaにセキュリティホール」
についてです。

age

3日前ぐらいから
210.21.34.66 - - [19/Aug/2003:11:20:36 +0900] "GET / HTTP/1.1" 200 3208 "-" "Moz
illa/4.0 (compatible; MSIE 5.5; Windows 98)"
61.182.255.188 - - [19/Aug/2003:11:21:30 +0900] "GET / HTTP/1.1" 200 3208 "-" "M
ozilla/4.0 (compatible; MSIE 5.5; Windows 98)"

みたいなのがすごい頻度(2分おきぐらい)でapache宛にくるんですが、これってどれと関連してるの?

Linuxにセキュリティホールなんてあるわけないだろ
M$の糞OSと一緒にすんな

つまらん

OpenSSHにもバグが
http://japan.cnet.com/news/ent/story/0,2000047623,20060999,00.htm

OpenSSLにDoSを引き起こす脆弱性

穴があったら入りたい

Linux勧告ウォッチ - 2003年10月24日
http://japan.linux.com/security/03/10/28/0242245.shtml

Apache 1.3系列、2.0系列がともにバージョンアップ
http://www.zdnet.co.jp/enterprise/0310/30/epn09.html

Mac OS Xに大量の脆弱性、解決策は新バージョンのOSへの移行のみ
http://www.zdnet.co.jp/enterprise/0310/30/epn05.html
http://www.zdnet.co.jp/enterprise/0310/30/epn11.html
http://headlines.yahoo.co.jp/hl?a=20031030-00000005-vgb-sci
http://japan.cnet.com/news/tech/story/0,2000047674,20061692,00.htm
http://internet.watch.impress.co.jp/www/article/2003/0411/macos.htm

"Panther"に深刻な障害--一部の外付けHDでデータ消失の危険性
http://headlines.yahoo.co.jp/hl?a=20031031-00000004-cnet-sci
http://www.zdnet.co.jp/news/0310/31/nebt_15.html
ttp://japan.cnet.com/news/tech/story/0,2000047674,20061724,00.htm
tp://www.lacie.co.jp/product/hdd.html

遂にドラクエ９発売！
詳細はここで入手！
http://www.dorakue.com

Linux勧告ウォッチ - 2003年10月31日
http://japan.linux.com/security/03/11/05/0033248.shtml

Linux勧告ウォッチ - 2003年11月7日
http://japan.linux.com/security/03/11/11/0149228.shtml

Linux勧告ウォッチ - 2003年11月14日
http://japan.linux.com/security/03/11/17/1638203.shtml

Linux勧告ウオッチ - 2003年11月21日（金）
http://japan.linux.com/security/03/11/25/1413254.shtml

Linux勧告ウオッチ - 2003年11月28日（金）
http://japan.linux.com/security/03/12/02/0256223.shtml

Linux勧告ウオッチ - 2003年12月5日（金）
http://japan.linux.com/security/03/12/09/063205.shtml

Linux勧告ウオッチ - 2003年12月12日（金）
http://japan.linux.com/security/03/12/15/1428228.shtml

ethereal

0.9?.?? => ０．１０かよ

Debian
12/17
DSA-401-1 hylafax -- format strings
12/17
DSA-402-1 minimalist -- unsanitised input

Linux勧告ウオッチ - 2003年12月19日（金）
http://japan.linux.com/security/03/12/23/1814241.shtml

Linux勧告ウオッチ - 2003年12月26日（金）
http://japan.linux.com/security/03/12/29/1120233.shtml

12/29
Gentoo: cvs Privilege escalation vulnerability

12/30
Debian: xsok Missing privelige release

12/31
Mandrake: proftpd Root access vulnerability

1/5/
Suse: kernel Privilege escalation vulnerability

1/5/
Red Hat: kernel Privilege escalation vulnerability

1/5/
Debian: screen Privilege leak vulnerability

1/5/
Debian: lftp Buffer overflow vulnerability

1/5/
Debian: ethereal Denial of service attack

1/6
Debian: kernel Privilege escalation vulnerability

1/6
Turbolinux: kernel Privilege escalation vulnerability

1/6
Debian: nd Buffer overflow vulnerability

1/6
Debian: mpg321 Malformed format string vulnerability

1/6
Debian: libnids Buffer overflow vulnerability

1/6
Debian: BIND Cache poisoning vulnerability

1/6/
Fedora: kernel Privilege escalation vulnerability

1/7
Debian: kernel More for Priv. Esc vulnerability

1/7
Debian: fsp Buffer overflow/Directory traversal vulns.

1/7
Debian: zebra Denial of Service vulnerability

1/7
Debian: jabber Denial of Service vulnerability

1/7
Fedora: etherial Denial of Service vulnerability

1/7
Slackware: kernel Privilege escalation vulnerability

1/8
Debian: vbox3 Privilege leak vulnerability

1/8
Red Hat: etherial Denial of Service vulnerabilities

1/8
Mandrake: kernel Privilege escalation vulnerability

1/9
Debian: kernel Priv. Escal. additional patches

1/9
Debian: phpgroupware Multiple vulnerabilities

1/9
Slackware: kernel Priv. Escal. patch for 8.1

1/9
Gentoo: kernel Privilege escalation vulnerability

1/12
Debian: mod-auth-shadow Account expiration not enforced

1/12
Red Hat: cvs Chroot breakout vulnerability

1/12
Debian: jitterbug Improper input sanatizing

1/13
Mandrake: etherial Multiple DoS vulernabilities

1/14
Red Hat: kdepim Buffer overflow vulnerability

1/14
Suse: tcpdump Denial of service vulnerability

1/14
Red Hat: tcpdump Denial of service vulnerability

1/15
Mandrake: kdepim Permission leak vulnerability

1/15
Slackware: kdepim Permission leak vulnerability

1/15
Slackware: INN Buffer overflow vulnerability

1/15
Suse: kernel Many vulnerabilities fixed for 64bit

1/15
Debian: kernel-image-2.4.17-ia64 Many backported vuln fixes

1/15
Debian: cvs Multiple vulnerabilities

1/16
Debian: tcpdump Multiple vulnerabilities

1/16
Debian: mc Improper execution vulnerability

1/19
Debian: kernel MIPS version of mremap() fix

1/19
Debian: netpbm-free Insecure temporary files

1/21
Red Hat: mc Buffer overflow vulnerability

1/20
Debian: slocate Heap buffer overflow

1/22
Red Hat: slocate Heap overflow vulnerability

1/22
Gentoo: honeyd Honeyd remotely identifiable

1/22
Turbolinux: lftp and tcpdump Multiple vulnerabilities

1/23
Mandrake: jabber Denial of service vulnerability

1/23
Mandrake: slocate Heap overflow

1/26
Debian: gnupg Signing key vulnerability

1/26
Slackware: gaim Multiple vulnerabilities

1/26
Fedora: slocate Heap overflow vulnerability

1/26
Red Hat: gaim Multiple vulnerabilities

今しがた、SSHでサーバをいじっていたらなぜか、SSHが切られたので
w をしてみるとなぜか、自分以外にSSHで入っているやつが3人いた。
しかもIPとか知らないやつのだし…。とりあえず、SSHを落としておいたけど
なぜ？？ユーザも一人しか作ってないし、パスワードだってかなり意味不明な
羅列にしているんだが。