皆様、セキュリティホールは埋めとけよ

日々発見されるセキュリティホール。
その情報を一人であつめるのは大変です。情報の共有をしましょう。
先人達が埋めてくれた穴は、ありがたく反映させていただきましょう。

http://www.redhat.co.jp/support/errata/rh72-errata-security.html
http://www.turbolinux.co.jp/security/
http://www.vinelinux.org/errata/2x/i386.html
http://www.debian.org/security/

ML等からの情報もよろしく

三つの致命的欠陥を修正したFirefox 1.0.3とMozilla 1.7.7リリース
http://slashdot.jp/article.pl?sid=05/04/16/0754215&topic=51

>>515関連
http://internet.watch.impress.co.jp/cda/news/2005/04/18/7319.html

Linux勧告ウォッチ - 2005年4月15日（金）
http://japan.linux.com/security/05/04/19/0255215.shtml
>今週は、axel、gftp、wireless-tools、glibc、selinux-policy-targeted、カーネル、autofs、 GnomeVFS、
>phpMyAdmin、shorewall、gtk、shareutils、gdk-buf、kdegraphics、dhcp、 gaimに関する勧告が公開された。

cvsのdebianパッチまだ〜？

Linux勧告ウォッチ - 2005年4月22日（金）
http://japan.linux.com/security/05/04/26/0149236.shtml
>今週は、MySQL、PHP、libexif、gtkhtml、info2www、geneweb、f2c、XFCE、vixie-cron、at、 nasm、aspell、urw-fonts、htdig、alsa-lib、
>curl、HelixPlayer、cvs、foomatic、 monkeyd、mplayer、xloadimage、logwatch、カーネル、OpenOffice、PostgreSQLに関する勧告が公開された。

Mozillaで修復済みの脆弱性、Netscapeブラウザは未対応
http://www.itmedia.co.jp/enterprise/articles/0504/27/news024.html

Linux勧告ウォッチ - 2005年4月29日（金）
http://japan.linux.com/security/05/05/02/057236.shtml
>今週は、squid、gaim、evolution、junkbuster、samba、cvs、kdelibs、libtiff、mc、dia、 cyrus、ImageMagik、
>openMosixview、kimgio、convert-UUlib、カーネル、shareutils、 mozillaに関する勧告が公開された。

Mozilla Firefox1.0.3に最高レベルの脆弱性
http://slashdot.jp/security/05/05/09/0327254.shtml

>>522と同じ話

http://www.forest.impress.co.jp/article/2005/05/09/fftwovulnerability.html

RootKit Hunter 1.2.6

Linux勧告ウォッチ - 2005年5月13日（金）
http://japan.linux.com/security/05/05/17/0152202.shtml
>今週は、squid、smail、XFree86、lapack、system-config-bind、gnutls、util-linux、 libexif、ethereal、
>postgresql、gaim、pygtk、GnuTLS、gzip、TCPDump、libTIFF、HT、 openmotifに関する勧告が公開された。

複数のWikiクローンのファイル添付機能にXSSな脆弱性
http://slashdot.jp/security/05/05/19/088246.shtml

「Outlook」v97〜2003に記載と異なるURLへリンクしたメールを作成できる脆弱性
http://www.forest.impress.co.jp/article/2005/05/20/outlookurlspoof.html

これが脆弱性だとするとMewにも脆弱性が存在することになってしまうわけだが

↑なにかと思って見たら
<a href="ttp://example.com/">ttp://www.forest.impress.co.jp/</a>
こんなのか。

HTMLメールには脆弱性があるって事だな

Linuxをセキュアにする 第3回: システムを強化する
http://www-6.ibm.com/jp/developerworks/linux/050513/j_l-seclnx3.html

Netscape 8公開直後に脆弱性修正のアップデート
http://www.itmedia.co.jp/enterprise/articles/0505/21/news007.html

>531
Windows 向けしか出てないと思ってたけど、私の勘違い？

>>532
他のOSへの対応は捨てられたみたいですね。
Netscapeのウリだったと思うんですが。

>>533
そもそもWindows以外のOSのユーザでFirefoxでもMozillaでもなくNetscapeを
使ってたユーザなんていたのだろうか・・・

発表直後の「Netscape 8」に脆弱性--ネットスケープがアップデートを公開
http://japan.cnet.com/news/sec/story/0,2000050480,20083753,00.htm

言い訳(･Ａ･)ｲｸｲﾅ!!

>>534
普通にいるべ。Solaris でも使うし、*BSD でも使うべ。

>>536
いやいや、4.xまでは対応するMozilla側が安定してなかったりで
使う理由がわかるんだけど、6.x以降は使う意味があるのかな、と。

# そもそも6.x以降はWindows, Linux, Macしか選択肢がないが

DNSプロトコル実装に脆弱性――DoS攻撃の可能性も
http://www.itmedia.co.jp/enterprise/articles/0505/25/news019.html

PowerDNSだけの問題のようだな。まったく思わせぶりなんだから。

メールクライアントソフトにおける mailto URL scheme の不適切な解釈
http://jvn.jp/jp/JVN%23FCAD9BD8/index.html

# Sylpheed は svn trunk (rev.294) で修正された模様
# > * src/compose.c: compose_entries_set(): don't interpret Bcc header
# > field (conform to RFC 2368).

俺のセキュリティーホールはもう手遅れです

彼女のセキュリティーホールを突破しました

> 24 May - Version 1.2.7 available
> A new version with another update for the databases
> updater and additional OS support.

Linux勧告ウォッチ - 2005年5月27日（金）
http://japan.linux.com/security/05/05/31/0240205.shtml
>今週は、ppxp、oops、libconvert、qpopper、gail、dmraid、openssl、カーネル、netpbm、sudo、 texinfo、FreeRADIUS、
>gdb、ImageMagick、Net-SNMP、gxine、evolution、firefox、 mozilla、ethereal、lesstifに関する勧告が公開された。

Linux Advisory Watch - June 3rd 2005
http://security.linux.com/security/05/06/03/128213.shtml
>This week, advisories were released for qpopper, openssl, php4, bzip2,
>ImageMagick, bind, netpbm, gxine, imap4d, elfutils, gnutls, and postgresql.

ttp://www.openssh.com/ja/
OpenSSH 4.1 がリリースされました (2005年 5月 26日)。

Mozilla/Mozilla Firefoxの脆弱性が再発
http://slashdot.jp/security/05/06/06/1146249.shtml

>>547
Mozilla／Firefoxに修正したはずのセキュリティ・ホールが“復活”，サイトの偽装を許す : IT Pro ニュース
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20050606/162208/

記事の終りにこんなものが。

なお今回のセキュリティ・ホールは，Internet Explorer（IE）やOpera，Netscapeといった複数のブラウザに見つかっている（関連記事）。
その後，例えばOperaはバージョン 7.52で，Netscapeはバージョン 7.2で修正された。
冒頭で書いたように，FirefoxとMozillaも修正されたものの，最近のバージョンで再び確認された。
IEについては，修正パッチなどが提供されないまま現在に至っている。

RSS配信はセキュリティ上危険か
http://japan.linux.com/security/05/06/09/0242203.shtml

Linux Advisory Watch - June 10, 2005
http://security.linux.com/security/05/06/10/124248.shtml
>This week, advisories were released for krb4, mailutils, traversal, Wordpress,
>SilverCity, kdbg, ImageMagick, openssh, dbus, rsh, and the Red Hat kernel.

Gaimにセキュリティホール
http://gaim.sourceforge.net/security/?id=19
http://gaim.sourceforge.net/security/?id=18

つhttp://61.25.27.93/~ss.jpg

（´・ω・） ｶﾜｲｿｽ

友人にLinuxにはWinみたいなセキュリティホールが無いと聞いて
Linux入れてみたんですが今度はセキュリティホールは埋めておけと言われて
何が何だかです??
LinuxとWinとでセキュリティホールの言葉の意味が違っていますか？
あとLinuxでセキュリティ関係のオートアップデートは無いのでしょうか？

おまえの友人が馬鹿だという可能性に気付かないおまえも馬鹿

>>554
Fedora CoreやRed Hat Enterprise Linuxでは自動アップデートがデフォルト有効のはず。
他のLinuxディストリビューションでも同様か、簡単な設定で自動アップデートに出来る。

>>554
メジャーなプログラムの既知のセキュリティホールは自動設定ならほぼ即日で埋まるけど
セキュリティ的に脆弱な設定のまま無言で動作するのは極めて簡単な上
誰もそのことを君に指摘してくれないから気をつけな。

http://blog.livedoor.jp/lindows_staff/archives/10241.html

（　ﾟдﾟ）ﾎﾟｶｰﾝ

>>558
ライブドアの中身のなさを如実に表わしてるな・・・
こんなしょーもない開発者しかいないのか？
Linspire(Lindows)とTurboはダメだな・・

>>558
今さらあげてまでいうことか？

Gedit Filename Format String Vulnerability
http://www.securityfocus.com/bid/13699

A specially crafted file with format specifiers in the filename can
cause arbitrary code execution.

>>557
自動アップデートの件ありがとうございました。
しかし残念ながらWinに戻ろうと考えています。
私がLinux入れたことを、その友人がふれ回ったらしく自称Linuxのプロと言う奴から
いきなり電話がかかって来る始末。なんか面倒なことになりそうなんで…
セキュリティ性が高いから防衛庁に使われているとか、高位のハッカー？じゃないと
ハッキングは無理とか数値計算が3倍速くなるとか・・・マジなんですか??

なかなか愉快なお友達をお持ちのようで

友人がまさか電波を連れてくるとは思いませんでした。
朝７時ぴったりに電話が掛かってきて第一声が「Linuxつかってんの？」ですよ・・・
そりゃ私3流大学ですがコイツがおかしいのだけは分かります。
こいつ等2人を合法的に殺す方法を教えて欲しいくらいです。

類友と反省してまっとうに生きろ

http://security.linux.com/security/05/06/17/1322200.shtml
>This week, advisories were released for mikmod, tcpdump, yum, elinks, parted,
>system-config-securitylevel, checkpolicy, spamassassin, gaim, libextractor, Ettercap, shtool,
>gedit, MediaWiki, gzip, gftp, squid, rsh, sysreport, telnet, bz, and mc.

主要なブラウザに脆弱性--ポップアップを悪用したフィッシングのおそれ
http://japan.cnet.com/news/sec/story/0,2000050480,20084675,00.htm

Linux Kernel Two Vulnerabilities (Linux 2.6.x)
http://secunia.com/advisories/15786/

1) An error exists in the handling of access to ar.rsc via ptrace and restore_sigcontext.
2) An error in the delivery of signals can cause a kernel panic when a sub-thread "exec" with a pending timer.

2.6.12.1 にアップデートしましょう。

http://security.linux.com/security/05/06/24/1122213.shtml
>This week, advisories were released for elinks, mikmod, tcpdump, parted,
>system-config-securitylevel, checkpolicy, spamassassin, gaim, ruby, arts, kde, util-linux,
>sudo, gawk, mc, pilot-link, alsa-utils, jpilot, ImageMagick, hwdata, webapp, cpio,
>squirrelmail, and bzip2.

http://security.linux.com/security/05/07/01/1313243.shtml
>This week, advisories were released for crip, Network Manager, HelixPlayer, gedit, gzip, selinux, gnome, openssh, libwpd, openoffice,
>openssh, binutils, totem, rgmanager, magma-plugins, iddev, fence, dlm, cman, css, GFS, mod_perl, Heimdal, and sudo.

A buffer overflow has been discovered in zlib, potentially resulting in the execution of arbitrary code.

http://www.gentoo.org/security/en/glsa/glsa-200507-05.xml
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-2096
http://secunia.com/advisories/15949/

zlibに脆弱性、Linux各社が対処
http://www.itmedia.co.jp/enterprise/articles/0507/08/news016.html

zlib はなかなか枯れないね

脆弱性トップ20にFirefoxやiTunesも
http://www.itmedia.co.jp/enterprise/articles/0507/27/news049.html

枯れてるOSと枯れてない彼女が好きです。

枯れてないOSと枯れた彼女が居るでつ、、

http://hideaway.under.jp/Firefox/
【緊急】JavaScriptActionsにGreasmonkeyと同じく脆弱性
JavaScriptActions 2.1.0/2.0.0/1.9.1.2にて
Chrome特権で任意のコードを実行できる脆弱性。
近日中に対策版を出す予定でですが、
現在Installしている方は速やかにUninstallをお願いいたします。
かなり危険な脆弱性です。

QR画像コードを生成するPerlとPHPのスクリプトにサービスを停止させられるセキュリティ・ホール
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20050728/165431/

Sophosなどのセキュリティソフトに深刻な脆弱性
http://www.itmedia.co.jp/enterprise/articles/0507/29/news023.html

Opera、セキュリティ問題に対処の8.02リリース
http://www.itmedia.co.jp/enterprise/articles/0507/29/news022.html

8/15日はサーバー停止させておこうかな。

>>579
中国と韓国からのパケットをDROPすれば無問題。

>>575
Fedora使いの四十代とみた。

ﾓﾏｴﾗ、Adobe Reader は 7.0.1 にアップデートしる。

ttp://secunia.com/advisories/16466/

>>582
日本語版の方もちゃんと7.0.1出てたよ。
対応速くて偉いね。

なあ、もまえら、アンチウイルスソフトはどうしてるの？
ウイルスバスタなんかのＬｉｎｕｘ用の奴なんか高くて買えないし（10万以上する）。
なんか良いアンチウイルスソフトあったら教えて。
教えてエロイ人。

デスクトップならいらんやろ

>>584
AntiVir or BitDefender

いずれも無償利用可能。

>>584
スレ違いではないがこっちのほうがお前さんのアプローチには
適切ではないか。

つ ttp://pc8.2ch.net/test/read.cgi/linux/1068890112/

>>585
>>586
>>587
もまえらサンクス。
いや、学術目的でちろっと公開するLinuxサーバ立てようかとおもってるんですよ。
まだ調査の段階でためしに立てるんで、高いウイルスソフトなんて買えないからどうしようかと思いまして。
Linuxあまり詳しくないし、調べてるだんかいです。
ウイルス関連情報スレも覗いてみまつ。

馬鹿が多過ぎるんでこっちにも書いとく。

Linux版のFirefox(たぶん他のUNIX系OSも)に深刻な脆弱性が見付かってる。
ユーザ権限で任意のコマンドを実行可能。
悪用するにはfirefoxのコマンドラインに細工したURLを与える必要があるが、
専用ブラやメーラーからブラウザが起動される場合がこれに相当する。
悪用は簡単。実に簡単。これから悪用URLが2chじゅうに貼られるかも。
これを修正したFirefox 1.0.7が間もなくリリースされる予定だが、
リリースを待たずに脆弱性の詳細が一般に告知されてしまった。

今のところの対策は、
・専ブラやメーラ上のリンクをクリックしない。
・Mozillaにはこの脆弱性は無いのでしばらくはMozillaを使う。
・先にFirefoxを立ち上げてからリンクをクリックすればこの脆弱性から逃れられる。

日本語ソース

「Linux版Firefoxにセキュリティ・ホール」
ttp://nikkeibp.jp/wcs/leaf/CID/onair/jp/it/398968

リンク踏むなって言ってるのにリンク貼るのも矛盾だけどよ

>>589
大げさに騒ぎすぎだ。
Mozilla 1.7.xでも同種の脆弱性はあるし、脆弱性の詳細も何もこれだけだ。

http://local\`コマンド\`host

>>591
通報しますた。

これだけだから騒いでるのにホントにもう馬鹿しか居ねぇな。
一回と言わず百回くらい死ねよ。

なんだ、電波かよ。レスして損した。

* chkproc.c
o bug fix for FreeBSD: chkproc was sending a SIGXFSZ (kill -25) to init, causing a reboot
o more fixes to better support Linux threads
* chkutmp.c
o improved execution speed
* chkwtmp.c
o segfault fixed
* chkrootkit
o Mac OS X support added
o new rootkits detected: rootedoor
o some bug fixes

This version is a maintenance release, that contains numerous bug fixes,
including a number of security fixes related to the overwriting of the GLOBALS array.
All users of PHP 4.3 and 4.4 are encouraged to upgrade to this version.

5系の場合はこっち
つ　ttp://wiki.ohgaki.net/index.php?PHP%2Fpatch%2F%24GLOBAL%CA%DD%B8%EE%A5%D1%A5%C3%A5%C1

clamav 0.87.1

セキュリティリリース Apache HTTP Server 1.3.34
http://pcweb.mycom.co.jp/news/2005/10/19/015.html

これした？

>>599 中華、もう2系に汁。

「ボット感染、Linuxも標的に」、米SANS
ttp://nikkeibp.jp/wcs/leaf/CID/onair/jp/flash/418779

SANSってFirefoxの穴を見つけたと大喜びして
開発元無視して公表したら穴じゃなかったところだよな・・。

ひさしぶりに覗いてみたがやはり馬鹿しか居ないようだ。リセットリセット。

http://www.php.net/
PHP 4.4.2 Released
PHP 5.1.2 Released

SELinux MLでのドキュメント和訳開始とかいいんだけど、
不治藁ウザイ

>>はい

ウイルス大作そふと使ってる？
俺は使ってない

>>606
ウィルス関係情報スレッド
http://pc11.2ch.net/test/read.cgi/linux/1068890112/

test

test

test

　 ∧_∧∩
　(　ﾟ∀ﾟ)彡
⊂　⊂彡 eroda! eroda!
　(つ ﾉ
　 (ノ

石油里程掘

【PC/セキュリティ】悪質Flashファイルでネットワーク機器を攻撃？［01/15］
http://news24.2ch.net/test/read.cgi/wildplus/1200381990/

2009年初カキコ