【詳細情報】ベンダー各社がLynxのアップデートをリリース | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.11.21(火)

【詳細情報】ベンダー各社がLynxのアップデートをリリース

国際 海外情報

◆概要:
 ベンダー各社では、Software ConsortiumのLynx webブラウザに存在する軽微な問題を解決するセキュリティアップデートを発表した。このアップデートにより、コマンドラインを介してLynxに渡されるURLに偽のヘッダーを挿入することを防止する事が可能。

 偽のヘッダー挿入により、Lynxが使用しているスクリプトやアプリケーションを変更し、Lynxに渡される「真の」URLとして同じサーバでホストされている異なるwebサイトからファイルをダウンロードする事が可能である。

 この問題は、コマンドラインからのスクリプトやアプリケーションでLynxを使用する場合にのみ影響する。コマンドラインでは、URLの一部はユーザーが制御し、攻撃者は目的のサイトをホストしているサーバへのアクセスを持つことになる。この問題を悪用される危険度は最小であると考えられており、例えば、バイナリのダウンロードと実行が行われない限り、実際にシステムにアクセスすることはできない。


◆情報ソース:
・BugTraq (Ulf Harnhammar, ulfh@update.uu.se), Aug. 18, 2002
・SCO Group (CSSA-2002-049.0), Nov. 18, 2002
・Debian Project (DSA-210-1), Dec. 13, 2002
・Trustix AS (Trustix Secure Linux Security Advisory #2002-0085) , Dec. 19, 2002
・Red Hat Inc. (RHSA-2003:029-06), Feb. 12, 2003

◆キーワード:
 Red Hat: Linux 7.2 Red Hat: Linux 7.1
 Red Hat: Linux 7.0 Red Hat: Linux 6.x
 Red Hat Linux 7.3 Red Hat Linux 8.0
 Trustix: Secure Linux 1.1 Trustix: Secure Linux 1.2
 Trustix: Secure Linux 1.5

◆分析:
 (iDEFENSE US) これは、非常に危険度の低い問題で、ごく一部のユーザーにしか影響しない。攻撃者がリモートサーバへのアクセスを持たなければならず、サーバでwebサイトを作成する能力も必要となるためである。

◆検知方法:
 下記の製品及びベンダーが当該問題の影響を受ける。

・パッチが適用されていない限り、Lynxの2.8.4rel1までの全バージョン及び2.8.5dev8までの全バージョンが脆弱であることが確認されている。
・Red Hat社は、Red Hat Linux 6.2、7.0、7.1、7.2、7.3、8.0が脆弱であることを確認している。
・Debian Project社は、Debian Linux 2.2及び3.0が脆弱であることを確認している。
・Trustix AS社は、Trustix Secure Linux 1.1、1.2、1.5が脆弱であることを確認している。
・SCO Group社は、Caldera OpenLinux 3.1と3.1.1 Server及びWorkstationがすべて脆弱であることを確認している。

◆ベンダー情報:
 下記のアップデートがリリースされている。

・ISC社のLynx用パッチは、下記で入手可能。
ftp://lynx.isc.org/lynx/lynx2.8.4/patches/lynx2.8.4rel.1c.patch
・Red Hat社のアップデート版は、下記で入手可能。
http://rhn.redhat.com/errata/RHSA-2003-029.html
・Trustix社のアップデート版は、下記で入手可能。
http://www.trustix.net/pub/Trustix/updates/
・Debian Project社のアップデート版は、下記で入手可能。
http://www.debian.org/security/2002/dsa-210
・SCO Group社のOpenLinuxのアップデート版は、下記で入手可能。
ftp://ftp.sco.com/pub/security/OpenLinux/CSSA-2002-049.0.txt


※この情報はアイ・ディフェンス・ジャパン
 ( http://www.idefense.co.jp/ )より提供いただいております。
  アイディフェンス社の iAlert サービスについて
  http://shop.vagabond.co.jp/p-alt01.shtml
  情報の内容は以下の時点におけるものです。
 【11:12 GMT、02、13、2003】
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. スバルのキー・フォブに脆弱性あり、オランダ人技術者語る(The Register)

    スバルのキー・フォブに脆弱性あり、オランダ人技術者語る(The Register)

  2. WPA2の新たな脆弱性への攻撃KRACK、暗号化技術の根底にある欠陥(The Register)

    WPA2の新たな脆弱性への攻撃KRACK、暗号化技術の根底にある欠陥(The Register)

  3. インドのレジストリで情報漏えい、インドのネットを壊滅させるデータのビットコイン価格とは(The Register)

    インドのレジストリで情報漏えい、インドのネットを壊滅させるデータのビットコイン価格とは(The Register)

  4. 死亡した男性のメールアカウントを巡るヤフーと裁判所の争い(The Register)

  5. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  6. セキュリティ人材の慢性不足、海外の取り組みは(The Register)

  7. SMSによる二要素認証が招くSOS(The Register)

  8. iCloudからの女優のプライベート画像流出事件、容疑者がフィッシングの罪を大筋で認める

  9. AWS 設定ミスでウォールストリートジャーナル購読者情報他 220 万件流出(The Register)

  10. Anonymousが幼児虐待の秘密の拠点を閉鎖~Tor小児愛者を攻撃し氏名を暴露(The Register)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×