このメールは, announce-jp に流れた Subject: ANNOUNCE: FreeBSD Ports Security Advisory: FreeBSD-SA-00:44.xlockmore From: FreeBSD Security Advisories Date: Mon, 28 Aug 2000 12:45:08 -0700 (PDT) Message-Id: <20000828194508.945FF37B6A4@hub.freebsd.org> X-Sequence: announce-jp 516 を日本語訳したものです. 原文は PGP 署名されていますが, この日本語訳は PGP 署名されていません. パッチ等の内容が改竄されていないことを確認するために PGP のチェックを 行なうには, 原文を参照してください. 日本語訳は FreeBSD 日本語ドキュメンテーションプロジェクト(doc-jp)が参考の ために提供するもので, doc-jp は その内容についていかなる保証もいたしません. 日本語訳についてのお問い合わせは doc-jp@jp.FreeBSD.org までお願いします. --(ここから) ============================================================================= FreeBSD-SA-00:44 Security Advisory FreeBSD, Inc. トピック: xlockmore port allows reading of password file 分類: ports モジュール: xlockmore 告知日: 2000-08-28 クレジット: bind 影響範囲: 修正日以前の Ports Collection 修正日: 2000-08-15 ベンダの対応: 修正版が公開済み FreeBSD に固有か: NO I. 背景 - Background xlockmore は X 端末へのコンソールアクセスをロックする ユーティリティです. II. 問題の詳細 - Problem Description xlockmore port のバージョン 4.17 とそれ以前は, root ユーザで setuid された xlock バイナリをインストールしますが, この xlock バイナリには不適切に使われている syslog() 関数に起因した セキュリティ上の弱点が存在します. xlock プログラムは その弱点となっている箇所に至る前に root 権限を適切に無効化するのですが, システムのユーザアカウントに対応する, 暗号化されたパスワードデータベース(hashed password database)の一部を メモリに保持している可能性があります. xlockmore プロセスのメモリ空間から暗号化されたパスワード情報を 入手できる攻撃者は, ユーザアカウントのパスワードに対して 推測攻撃を加えることができます. そしてそれが成功すると, システム上のアカウントに対するアクセスが奪われる危険性があります. xlockmore の port はデフォルトでインストールされるものではなく, FreeBSD システムの一部を構成するものでもありません. それらは 3700 を越えるサードパーティ製アプリケーションがすぐに インストールできる形で収められている FreeBSD Ports Collection の一部です. リリース後に問題が見つかったため, FreeBSD 3.5 および 4.1 とともに出荷された Ports Collection はこの問題を含んでいます. FreeBSD では, このようなサードパーティ製アプリケーションのセキュリティ 問題に対して, 特に何かを主張することはありません(訳注: Ports Collection に 入っているからといって, FreeBSD の開発者たちがそのアプリケーションが 安全であると評価したわけではありません). ただし, セキュリティ問題に対して 大きな影響を持つような ports に対するセキュリティ監査を提供すべく, 現在努力中です. III. 影響範囲 - Impact 高い権限を持たないローカルユーザが /etc/spwd.db の一部へ 不正にアクセスできる可能性があります. それにより, ローカルユーザが ユーザパスワードに対して推測攻撃を行なえるようになります. xlockmore の port/package をインストールしていなければ, システムにこの問題によるセキュリティ上の弱点はありません. IV. 回避方法 - Workaround xlockmore の port/package がインストールされている場合は, それをシステムから削除してください. V. 解決策 - Solution 次のいずれかに従ってください. 1) Ports Collection 全体をアップグレードし, xlockmore の port を再構築します. 2) 古い (訳注: xlockmore の) package をシステムから削除し, 修正日以降に 作成された新しい package を以下の場所から取得してインストールします. 日本のミラーサイトを利用する場合は ftp.FreeBSD.org を ftp.jp.FreeBSD.org に置き換えてください. ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/i386/packages-3-stable/x11/xlockmore-4.17.1.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/i386/packages-4-stable/x11/xlockmore-4.17.1.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/alpha/packages-4-stable/x11/xlockmore-4.17.1.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/i386/packages-5-current/x11/xlockmore-4.17.1.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/alpha/packages-5-current/x11/xlockmore-4.17.1.tgz 注意: 修正版の package が利用できるようになるまで数日かかる可能性があります. 3) xlockmore port の新しい port スケルトンを以下の場所からダウンロードし, それを使って port を再構築します. http://www.freebsd.org/ports/ (英文) http://www.jp.FreeBSD.org/www.FreeBSD.org/ja/ports/ (日本語訳) 4) 上記 (3) の操作を自動的に行なう portcheckout ユーティリティを使います. portcheckout の port は /usr/ports/devel/portcheckout にあります. また, portcheckout の package が以下の場所から入手可能です. 日本のミラーサイトを利用する場合は ftp.FreeBSD.org を ftp.jp.FreeBSD.org に置き換えてください. ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/i386/packages-3-stable/devel/portcheckout-2.0.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/i386/packages-4-stable/devel/portcheckout-2.0.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/alpha/packages-4-stable/devel/portcheckout-2.0.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/i386/packages-5-current/devel/portcheckout-2.0.tgz ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/alpha/packages-5-current/devel/portcheckout-2.0.tgz $hrs: announce-jp/FreeBSD-SA/00:44,v 1.3 2000/09/06 15:40:07 hrs Exp $