皆様、セキュリティホールは埋めとけよ

日々発見されるセキュリティホール。
その情報を一人であつめるのは大変です。情報の共有をしましょう。
先人達が埋めてくれた穴は、ありがたく反映させていただきましょう。

http://www.redhat.co.jp/support/errata/rh72-errata-security.html
http://www.turbolinux.co.jp/security/
http://www.vinelinux.org/errata/2x/i386.html
http://www.debian.org/security/

ML等からの情報もよろしく

ttp://www.openssh.com/ja/
OpenSSH 4.1 がリリースされました (2005年 5月 26日)。

Mozilla/Mozilla Firefoxの脆弱性が再発
http://slashdot.jp/security/05/06/06/1146249.shtml

>>547
Mozilla／Firefoxに修正したはずのセキュリティ・ホールが“復活”，サイトの偽装を許す : IT Pro ニュース
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20050606/162208/

記事の終りにこんなものが。

なお今回のセキュリティ・ホールは，Internet Explorer（IE）やOpera，Netscapeといった複数のブラウザに見つかっている（関連記事）。
その後，例えばOperaはバージョン 7.52で，Netscapeはバージョン 7.2で修正された。
冒頭で書いたように，FirefoxとMozillaも修正されたものの，最近のバージョンで再び確認された。
IEについては，修正パッチなどが提供されないまま現在に至っている。

RSS配信はセキュリティ上危険か
http://japan.linux.com/security/05/06/09/0242203.shtml

Linux Advisory Watch - June 10, 2005
http://security.linux.com/security/05/06/10/124248.shtml
>This week, advisories were released for krb4, mailutils, traversal, Wordpress,
>SilverCity, kdbg, ImageMagick, openssh, dbus, rsh, and the Red Hat kernel.

Gaimにセキュリティホール
http://gaim.sourceforge.net/security/?id=19
http://gaim.sourceforge.net/security/?id=18

つhttp://61.25.27.93/~ss.jpg

（´・ω・） ｶﾜｲｿｽ

友人にLinuxにはWinみたいなセキュリティホールが無いと聞いて
Linux入れてみたんですが今度はセキュリティホールは埋めておけと言われて
何が何だかです??
LinuxとWinとでセキュリティホールの言葉の意味が違っていますか？
あとLinuxでセキュリティ関係のオートアップデートは無いのでしょうか？

おまえの友人が馬鹿だという可能性に気付かないおまえも馬鹿

>>554
Fedora CoreやRed Hat Enterprise Linuxでは自動アップデートがデフォルト有効のはず。
他のLinuxディストリビューションでも同様か、簡単な設定で自動アップデートに出来る。

>>554
メジャーなプログラムの既知のセキュリティホールは自動設定ならほぼ即日で埋まるけど
セキュリティ的に脆弱な設定のまま無言で動作するのは極めて簡単な上
誰もそのことを君に指摘してくれないから気をつけな。

http://blog.livedoor.jp/lindows_staff/archives/10241.html

（　ﾟдﾟ）ﾎﾟｶｰﾝ

>>558
ライブドアの中身のなさを如実に表わしてるな・・・
こんなしょーもない開発者しかいないのか？
Linspire(Lindows)とTurboはダメだな・・

>>558
今さらあげてまでいうことか？

Gedit Filename Format String Vulnerability
http://www.securityfocus.com/bid/13699

A specially crafted file with format specifiers in the filename can
cause arbitrary code execution.

>>557
自動アップデートの件ありがとうございました。
しかし残念ながらWinに戻ろうと考えています。
私がLinux入れたことを、その友人がふれ回ったらしく自称Linuxのプロと言う奴から
いきなり電話がかかって来る始末。なんか面倒なことになりそうなんで…
セキュリティ性が高いから防衛庁に使われているとか、高位のハッカー？じゃないと
ハッキングは無理とか数値計算が3倍速くなるとか・・・マジなんですか??

なかなか愉快なお友達をお持ちのようで

友人がまさか電波を連れてくるとは思いませんでした。
朝７時ぴったりに電話が掛かってきて第一声が「Linuxつかってんの？」ですよ・・・
そりゃ私3流大学ですがコイツがおかしいのだけは分かります。
こいつ等2人を合法的に殺す方法を教えて欲しいくらいです。

類友と反省してまっとうに生きろ

http://security.linux.com/security/05/06/17/1322200.shtml
>This week, advisories were released for mikmod, tcpdump, yum, elinks, parted,
>system-config-securitylevel, checkpolicy, spamassassin, gaim, libextractor, Ettercap, shtool,
>gedit, MediaWiki, gzip, gftp, squid, rsh, sysreport, telnet, bz, and mc.

主要なブラウザに脆弱性--ポップアップを悪用したフィッシングのおそれ
http://japan.cnet.com/news/sec/story/0,2000050480,20084675,00.htm

Linux Kernel Two Vulnerabilities (Linux 2.6.x)
http://secunia.com/advisories/15786/

1) An error exists in the handling of access to ar.rsc via ptrace and restore_sigcontext.
2) An error in the delivery of signals can cause a kernel panic when a sub-thread "exec" with a pending timer.

2.6.12.1 にアップデートしましょう。

http://security.linux.com/security/05/06/24/1122213.shtml
>This week, advisories were released for elinks, mikmod, tcpdump, parted,
>system-config-securitylevel, checkpolicy, spamassassin, gaim, ruby, arts, kde, util-linux,
>sudo, gawk, mc, pilot-link, alsa-utils, jpilot, ImageMagick, hwdata, webapp, cpio,
>squirrelmail, and bzip2.

http://security.linux.com/security/05/07/01/1313243.shtml
>This week, advisories were released for crip, Network Manager, HelixPlayer, gedit, gzip, selinux, gnome, openssh, libwpd, openoffice,
>openssh, binutils, totem, rgmanager, magma-plugins, iddev, fence, dlm, cman, css, GFS, mod_perl, Heimdal, and sudo.

A buffer overflow has been discovered in zlib, potentially resulting in the execution of arbitrary code.

http://www.gentoo.org/security/en/glsa/glsa-200507-05.xml
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-2096
http://secunia.com/advisories/15949/

zlibに脆弱性、Linux各社が対処
http://www.itmedia.co.jp/enterprise/articles/0507/08/news016.html

zlib はなかなか枯れないね

脆弱性トップ20にFirefoxやiTunesも
http://www.itmedia.co.jp/enterprise/articles/0507/27/news049.html

枯れてるOSと枯れてない彼女が好きです。

枯れてないOSと枯れた彼女が居るでつ、、

http://hideaway.under.jp/Firefox/
【緊急】JavaScriptActionsにGreasmonkeyと同じく脆弱性
JavaScriptActions 2.1.0/2.0.0/1.9.1.2にて
Chrome特権で任意のコードを実行できる脆弱性。
近日中に対策版を出す予定でですが、
現在Installしている方は速やかにUninstallをお願いいたします。
かなり危険な脆弱性です。

QR画像コードを生成するPerlとPHPのスクリプトにサービスを停止させられるセキュリティ・ホール
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20050728/165431/

Sophosなどのセキュリティソフトに深刻な脆弱性
http://www.itmedia.co.jp/enterprise/articles/0507/29/news023.html

Opera、セキュリティ問題に対処の8.02リリース
http://www.itmedia.co.jp/enterprise/articles/0507/29/news022.html

8/15日はサーバー停止させておこうかな。

>>579
中国と韓国からのパケットをDROPすれば無問題。

>>575
Fedora使いの四十代とみた。

ﾓﾏｴﾗ、Adobe Reader は 7.0.1 にアップデートしる。

ttp://secunia.com/advisories/16466/

>>582
日本語版の方もちゃんと7.0.1出てたよ。
対応速くて偉いね。

なあ、もまえら、アンチウイルスソフトはどうしてるの？
ウイルスバスタなんかのＬｉｎｕｘ用の奴なんか高くて買えないし（10万以上する）。
なんか良いアンチウイルスソフトあったら教えて。
教えてエロイ人。

デスクトップならいらんやろ

>>584
AntiVir or BitDefender

いずれも無償利用可能。

>>584
スレ違いではないがこっちのほうがお前さんのアプローチには
適切ではないか。

つ ttp://pc8.2ch.net/test/read.cgi/linux/1068890112/

>>585
>>586
>>587
もまえらサンクス。
いや、学術目的でちろっと公開するLinuxサーバ立てようかとおもってるんですよ。
まだ調査の段階でためしに立てるんで、高いウイルスソフトなんて買えないからどうしようかと思いまして。
Linuxあまり詳しくないし、調べてるだんかいです。
ウイルス関連情報スレも覗いてみまつ。

馬鹿が多過ぎるんでこっちにも書いとく。

Linux版のFirefox(たぶん他のUNIX系OSも)に深刻な脆弱性が見付かってる。
ユーザ権限で任意のコマンドを実行可能。
悪用するにはfirefoxのコマンドラインに細工したURLを与える必要があるが、
専用ブラやメーラーからブラウザが起動される場合がこれに相当する。
悪用は簡単。実に簡単。これから悪用URLが2chじゅうに貼られるかも。
これを修正したFirefox 1.0.7が間もなくリリースされる予定だが、
リリースを待たずに脆弱性の詳細が一般に告知されてしまった。

今のところの対策は、
・専ブラやメーラ上のリンクをクリックしない。
・Mozillaにはこの脆弱性は無いのでしばらくはMozillaを使う。
・先にFirefoxを立ち上げてからリンクをクリックすればこの脆弱性から逃れられる。

日本語ソース

「Linux版Firefoxにセキュリティ・ホール」
ttp://nikkeibp.jp/wcs/leaf/CID/onair/jp/it/398968

リンク踏むなって言ってるのにリンク貼るのも矛盾だけどよ

>>589
大げさに騒ぎすぎだ。
Mozilla 1.7.xでも同種の脆弱性はあるし、脆弱性の詳細も何もこれだけだ。

http://local\`コマンド\`host

>>591
通報しますた。

これだけだから騒いでるのにホントにもう馬鹿しか居ねぇな。
一回と言わず百回くらい死ねよ。

なんだ、電波かよ。レスして損した。

* chkproc.c
o bug fix for FreeBSD: chkproc was sending a SIGXFSZ (kill -25) to init, causing a reboot
o more fixes to better support Linux threads
* chkutmp.c
o improved execution speed
* chkwtmp.c
o segfault fixed
* chkrootkit
o Mac OS X support added
o new rootkits detected: rootedoor
o some bug fixes

This version is a maintenance release, that contains numerous bug fixes,
including a number of security fixes related to the overwriting of the GLOBALS array.
All users of PHP 4.3 and 4.4 are encouraged to upgrade to this version.

5系の場合はこっち
つ　ttp://wiki.ohgaki.net/index.php?PHP%2Fpatch%2F%24GLOBAL%CA%DD%B8%EE%A5%D1%A5%C3%A5%C1

clamav 0.87.1

セキュリティリリース Apache HTTP Server 1.3.34
http://pcweb.mycom.co.jp/news/2005/10/19/015.html

これした？

>>599 中華、もう2系に汁。

「ボット感染、Linuxも標的に」、米SANS
ttp://nikkeibp.jp/wcs/leaf/CID/onair/jp/flash/418779

SANSってFirefoxの穴を見つけたと大喜びして
開発元無視して公表したら穴じゃなかったところだよな・・。

ひさしぶりに覗いてみたがやはり馬鹿しか居ないようだ。リセットリセット。

http://www.php.net/
PHP 4.4.2 Released
PHP 5.1.2 Released

SELinux MLでのドキュメント和訳開始とかいいんだけど、
不治藁ウザイ

>>はい

ウイルス大作そふと使ってる？
俺は使ってない

>>606
ウィルス関係情報スレッド
http://pc11.2ch.net/test/read.cgi/linux/1068890112/

test

test

test

　 ∧_∧∩
　(　ﾟ∀ﾟ)彡
⊂　⊂彡 eroda! eroda!
　(つ ﾉ
　 (ノ

石油里程掘

【PC/セキュリティ】悪質Flashファイルでネットワーク機器を攻撃？［01/15］
http://news24.2ch.net/test/read.cgi/wildplus/1200381990/

2009年初カキコ

SELinux、使っていません

age

俺の尻にセキュリティホールが！
誰かに埋められるのか！？

俺の尻にもセキュ(ry
>>618
お前ので埋めてくれ

ご存じの方教えてください
/dev/memというのがありますが、BSDだとセキュリティレベルで
アクセス不可に出来ますが、Linux(の何らかのディストリビューション)
ではどのように対策してるのでしょうか？ BSD と同様の機構が用意
されてるのでしょうか？

誰に対してアクセス制御したいん？

>>620
パーミションによる保護だけでは不十分なのでは、ってこと?

>>621 root 乗っ取られた場合でも大丈夫なように書き込み禁止とか(Xは使えなくて良い前提)
>>622 その通りです

>>623
/dev/memを書き込みできないようにして何を守るんですか？
rootは任意のカーネルモジュールを読み込めるんですよ？

FreeBSD ではこんな感じ。
http://www.jp.freebsd.org/QandA/HTML/1730.html

FreeBSD ではカーネルモジュールの読み込みも禁止されるみたい。
http://www.freebsd.org/doc/en/books/faq/security.html#SECURELEVEL

ちょっとぐぐると、securelevelよりももっと細かく制御できる
capabilitiesを使う方針みたいですね。

ttp://www.linuxsecurity.com/docs/SecurityAdminGuide/SecurityAdminGuide-10.html

なるほど、ありがとうございます。
じっくり見てみます。

>>620
http://tomoyo.sourceforge.jp/
TOMOYO Linux
app armerもあるけど
https://wiki.ubuntu.com/AppArmor
資料はほとんど英語
SELinuxは/dev/memに所属するグループを書き込み禁止にすれば良いけど
グループに所属する他のプログラムまで影響する
自前でポリシ作れば何とかなるけど面倒
SELinuxはFedoraやCentOSに付いてるデフォのtargetポリシでも効果はあるけど
mlsポリシのがいいんかな
制限がきつくて運用がしんどいけど

OpenSSL 1.0.0d, 0.9.8r
> 08-Feb-2011: OpenSSL 1.0.0d is now available, including important bug and security fixes
> 08-Feb-2011: OpenSSL 0.9.8r is now available, including important bug and security fixes
http://openssl.org/news/secadv_20110208.txt

>>617-618 warota

埋め

＞大阪府三島郡島本町の小学校や中学校は、暴力イジメ学校や。
島本町の学校でいじめ・暴力・脅迫・恐喝などを受け続けて廃人同様になってしもうた僕が言うんやから、
まちがいないで。僕のほかにも、イジメが原因で精神病になったりひきこもりになったりした子が何人もおる。
教師も校長も、暴力やいじめがあっても見て見ぬフリ。イジメに加担する教師すらおった。
誰かがイジメを苦にして自殺しても、「本校にイジメはなかった」と言うて逃げるんやろうなあ。
島本町の学校の関係者は、僕を捜し出して口封じをするな

＞島本町って町は、暴力といじめの町なんだな

子供の時に受けた酷いイジメの体験は、一生癒えない後遺症になるなあ

LiveCDで記録できるデバイスなしで使うときだけ使っているから
何も奪われないし、改変などできるわけない。
毎日再起動したら初期状態で変更は全て消える。

これでも感染すると言う奴がでてくるのが２ｃｈの姿。
ＦＷなんてＩＳＰが貸してくれるルータで充分な。ＷＡＮに直でつながるＩＳＰ
とか入るほうが問題だろ。
だいたいほとんどの問題はＬＡＮ上で動くファイル共有やらＯＳの遠隔操作
機能やらＩＥとＯＥだろ。これらを使っていない時点でなんの問題あるの？
メール？バカ？メールはメール専門ＰＣを別セグメントで用意するから問題ない。

こういうのが一番危ない
恐ろしいのはセキュリティ板住人の9割がこういう思想なこと

>>634
ウイルスには感染可能だぞ
まあ感染しても再起動時にはリセットされて真っさらな状態に戻るけどな

Linuxなので安全です。
心配するだけ無駄。

閲覧でウイルス感染も「ｂａｓｈ」に重大欠陥
ttp://www3.nhk.or.jp/news/html/20140927/t10014922101000.html

＞インターネットのホームページを表示するサーバーで広く利用されているプログラムに重大な欠陥が見つかり、放置しておくと、
個人情報の流出などを招くおそれがあるとして、セキュリティー機関などが早急な対策を呼びかけています。

＞欠陥が見つかったのは、Ｌｉｎｕｘという基本ソフト上で動く「ｂａｓｈ」と呼ばれるプログラムで、インターネットのホームページを
表示するサーバーで広く利用されています。

ここまで大げさにしたら
どうなんるんだろ、仕掛人および実行犯

>>639
仕掛人とか実行犯って何の話?

ただの妄想だから気にすんな

シェルに問題があっても、Webサーバ機能にどう影響してるのか
イマイチ不明だな。

そもそそもwebサーバが動作しているユーザ:グループは、シェルログイン
がデフォルトで不可能になってるはずだが。

>>642
http://www.walbrix.com/jp/blog/2014-09-bash-code-injection.html

修正されたようやね

環境変数で実行できるbash脆弱性を悪用できる情報が次々と見つかっているから、
bashを別のシェルに置き換えるしか対策はないのかな