セキュリティホール情報＜2003/03/28-2＞

告知　───────────────────────────────
最新セキュリティホール、改竄、ウィルス、SecuriTeam情報を毎日お届け！
　　Scan Daily EXpress 法人購読　３月末まで期間限定の割引サービス中
　　通常１６万円（全セット）を　９万８千円に大幅ディスカウント
　　　　　　　　 http://shop.vagabond.co.jp/m-sdx01.shtml
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
下の記事は、Scan Daily EXpress の一部を転載したものです
───────────────────────────────────

＜Linux共通＞
▽ Eye Of Gnome
　EOG（Eye Of Gnome）をメールクライアントのデフォルトのイメージビューワとして設定している環境で、任意のコードを実行できる脆弱性が発見された。

　Core Security Technologies Advisory
　CORE-2003-0304-03：Vulnerability in GNOME's Eye of Gnome
　http://www.coresecurity.com/common/showdoc.php?idx=312&idxseccion=10&CORE=958e3c47072554ea99940849d1ea3300

　CVE (Common Vulnerabilities and Exposures)
　CAN-2003-0165
　http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0165

▽ zlib
　zlibのgzprintf() にフォーマットストリングの脆弱性が発見された。この問題を利用することにより、zlib ライブラリを含むプログラム権限で任意のコマンドを実行する可能性がある。 [更新]

□ 関連情報:

　Turbolinux Security Center
　TLSA-2003-11 zlib Format string vulnerability
　http://www.turbolinux.co.jp/security/TLSA-2003-11.txt

　Turbolinux Japan Security Center
　TLSA-2003-11 zlib フォーマットストリングの脆弱性
　http://www.turbolinux.co.jp/security/TLSA-2003-11j.txt

　SecurityFocus
　[OpenPKG-SA-2003.015] OpenPKG Security Advisory (zlib)
　http://www.securityfocus.com/archive/1/313806/2003-03-01/2003-03-07/0

　Neohapsis Archives - Bugtraq
　buffer overrun in zlib 1.1.4 - From rjk_at_greenend.org.uk
　http://archives.neohapsis.com/archives/bugtraq/2003-02/0269.html

　Security Bugware
　zlib buffer overrun in gzprintf()
　http://www.securitybugware.org/Other/6013.html

　SecurityTracker.com Archives
　Alert ID:1006153 zlib Compression Library Buffer Overflow in 'gzprintf()' May Let Users Execute Arbitrary Code
　http://www.securitytracker.com/alerts/2003/Feb/1006153.html

　LinuxSecurity 2003/03/05 追加
　OpenPKG: zlib multiple vulnerabilities
　http://www.linuxsecurity.com/advisories/other_advisory-2927.html

　SCO Security Advisory 2003/03/11 追加
　CSSA-2003-011.0 Linux: format string vulnerability in zlib (gzprintf)
　ftp://ftp.sco.com/pub/security/OpenLinux/CSSA-2003-011.0.txt

　CVE (Common Vulnerabilities and Exposures) 2003/03/11 追加
　CAN-2003-0107
　http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0107

　LinuxSecurity 2003/03/12 追加
　SCO: zlib Format string vulnerability
　http://www.linuxsecurity.com/advisories/caldera_advisory-2952.html

　MandrakeSoft Security Advisory 2003/03/19 追加
　MDKSA-2003:033 : zlib
　http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:033

　LinuxSecurity 2003/03/20 追加
　MDKSA-2003:033 zlib
　http://www.linuxsecurity.com/advisories/mandrake_advisory-3002.html

　NetBSD Security Advisory 2003/03/27 追加
　NetBSD-SA2003-004 Format string vulnerability in zlib gzprintf()
　ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-004.txt.asc

▽ Kernel
　Linux kernel は実装上の原因により、Linux kernel によって大量に生成される子プロセスに対して ptrace を使用することでセキュリティホールが存在する。攻撃者にこのセキュリティホールを悪用された場合、ローカルから権限を昇格される可能性がある。 [更新]

□ 関連情報:

　Linux-Kernel Archive
　Ptrace hole / Linux 2.2.25
　http://www.uwsg.iu.edu/hypermail/linux/kernel/0303.2/0226.html

　Red Hat Linux Security Advisory
　RHSA-2003:098-07 Updated 2.4 kernel fixes vulnerability
　https://rhn.redhat.com/errata/RHSA-2003-098.html

　CVE (Common Vulnerabilities and Exposures)
　CAN-2003-0127
　http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0127

　Security Bugware
　Linux local root exploit via ptrace
　http://www.securitybugware.org/Linux/6072.html

　LinuxSecurity
　EnGarde Secure Linux Security Advisory
　http://www.linuxsecurity.com/advisories/engarde_advisory-2976.html

　LinuxSecurity
　Trustix Secure Linux Security Advisory #2003-0007
　http://www.linuxsecurity.com/advisories/trustix_advisory-2973.html

　Turbolinux Security Advisory
　TLSA-2003-17 : The ptrace is in vulnerability
　http://www.turbolinux.com/security/TLSA-2003-17.txt

　CIAC (Computer Incident Advisory Capability)
　N-056: Red Hat Updated 2.4 Kernel Fix for ptrace Vulnerability
　http://www.ciac.org/ciac/bulletins/n-056.shtml

　SecuriTeam.com 2003/03/20 追加
　Ptrace Vulnerability Allows Gaining of Elevated Privileges under Linux
　http://www.securiteam.com/unixfocus/5FP0A2K9GQ.html

　SecurityTracker.com Archives 2003/03/20 追加
　Alert ID:1006303 Linux Kernel ptrace() Flaw Lets Local Users Gain Root Privileges
　http://www.securitytracker.com/alerts/2003/Mar/1006303.html

　SecurityTracker.com Archives 2003/03/20 追加
　Alert ID:1006304 (Red Hat Issues Fix) Re: Linux Kernel ptrace() Flaw Lets Local Users Gain Root Privileges
　http://www.securitytracker.com/alerts/2003/Mar/1006304.html

　Turbolinux Security Advisory 2003/03/22 追加
　TLSA-2003-17 kernel ptraceに脆弱性が存在
　http://www.turbolinux.co.jp/security/TLSA-2003-17j.txt

　Red Hat Linux Security Advisory 2003/03/22 追加
　RHSA-2003:088-10 New kernel 2.2 packages fix vulnerabilities
　https://rhn.redhat.com/errata/RHSA-2003-088.html

　LinuxSecurity 2003/03/22 追加
　GENTOO LINUX SECURITY ANNOUNCEMENT 200303-17Trustix Secure Linux Security Advisory #2003-0007
　http://www.linuxsecurity.com/advisories/gentoo_advisory-3026.html

　LinuxSecurity 2003/03/22 追加
　Linux 2.2.25-ow1 is out and a part of Owl-current
　http://www.linuxsecurity.com/advisories/openwall_advisory-3032.html

　Miracle Linux Support 2003/03/24 追加
　アップデート情報：kernel-2.4.9 セキュリティ　管理者権限の奪取
　http://www.miraclelinux.com/support/update/data/kernel_se20.html

　ISS X-Force Database 2003/03/25 追加
　linux-ptrace-root-privileges (11553) Linux kernel ptrace() root privileges
　http://www.iss.net/security_center/static/11553.php

　LinuxSecurity 2003/03/25 追加
　SuSE-SA:2003:021 SuSE Security Announcement
　http://www.linuxsecurity.com/advisories/suse_advisory-3060.html

　SuSE Security Announcement 2003/03/26 追加
　SuSE-SA:2003:0021 kernel
　http://lists2.suse.com/archive/suse-security-announce/2003-Mar/0011.html

　Miracle Linux Support 2003/03/26 追加
　アップデート情報：kernel-2.2.18 セキュリティ
　http://www.miraclelinux.com/support/update/data/kernel_se10.html

　Debian GNU/Linux ─ Security Information 2003/03/27 追加
　DSA-270-1 kernel-patch-2.4.17-mips, kernel-patch-2.4.19-mips ─local privilege escalation
　http://lists.debian.org/debian-security-announce/debian-security-announce-2003/msg00053.html

　Debian GNU/Linux ─ Security Information 2003/03/27 追加
　DSA-270-1 linux-kernel-mips ─ local privilege escalation
　http://www.debian.org/security/2003/dsa-270

▽ openssl
　openssl は実装上の原因により、セキュリティホールが存在する。攻撃者にこのセキュリティホールを悪用された場合、リモートから RSA キーの情報を奪取される可能性がある。 [更新]

□ 関連情報:

　OpenSSL Security Advisory
　Timing-based attacks on RSA keys
　http://www.openssl.org/news/secadv_20030317.txt

　mod_ssl
　News, Project Newsflash
　http://www.modssl.org/news/

　OpenBSD Security Advisory
　011: SECURITY FIX: March 18, 2003
　http://www.jp.openbsd.org/errata.html#blinding

　OpenBSD Security Advisory
　024: SECURITY FIX: March 18, 2003
　http://www.jp.openbsd.org/errata31.html#blinding

　Boneh - Recent Publications
　Remote timing attacks are practical
　http://crypto.stanford.edu/~dabo/abstracts/ssl-timing.html

　CVE (Common Vulnerabilities and Exposures)
　CAN-2003-0147
　http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0147

　ISS X-Force Database
　ssl-rsa-information-leak (11547) Multiple SSL implementation RSA private key information leak
　http://www.iss.net/security_center/static/11547.php

　Security Bugware
　OpenSSL and other crypto library timming attack vulenrability
　http://www.securitybugware.org/Other/6066.html

　SecurityTracker.com Archives
　Alert ID:1006283 OpenSSL Timing Characteristics Let Remote Users Determine Private Keys in Certain Cases
　http://www.securitytracker.com/alerts/2003/Mar/1006283.html

　LinuxSecurity
　OpenPKG local and remote extraction of RSA private key
　http://www.linuxsecurity.com/advisories/other_advisory-3004.html

　LinuxSecurity
　OpenPKG local and remote extraction of RSA private key
　http://www.linuxsecurity.com/advisories/other_advisory-3005.html

　CIAC (Computer Incident Advisory Capability) 2003/03/22 追加
　N-061: OpenSSL Timing-based Attacks on RSA Keys
　http://www.ciac.org/ciac/bulletins/n-061.shtml

　LinuxSecurity 2003/03/22 追加
　OpenPKG Security Advisory
　http://www.linuxsecurity.com/advisories/other_advisory-3023.html

　LinuxSecurity 2003/03/22 追加
　Sorcerer Update Advisory
　http://www.linuxsecurity.com/advisories/other_advisory-3033.html

　LinuxSecurity 2003/03/22 追加
　Researchers have discovered a timing attack on RSA keys, to which
　OpenSSL is generally vulnerable, unless RSA blinding has been turned on.
　http://www.linuxsecurity.com/advisories/other_advisory-3034.html

　LinuxSecurity 2003/03/22 追加
　SSL sessions where RSA blinding is not in effect are vulnerable to timing attacks which could allow a cracker to discover your private RSA key.
　http://www.linuxsecurity.com/advisories/other_advisory-3034.html

　LinuxSecurity 2003/03/22 追加
　OpenSSL timing-based SSL/TLS attack
　http://www.linuxsecurity.com/advisories/freebsd_advisory-3035.html

　SecuriTeam.com 2003/03/23 追加
　Stunnel - RSA Timing Attacks and Key Discovery
　http://www.securiteam.com/unixfocus/5ZP0N0U9FU.html

　LinuxSecurity 2003/03/22 追加
　SCO Security Advisory
　http://www.linuxsecurity.com/advisories/caldera_advisory-3039.html

　Apple Security Advisory 2003/03/25 追加
　APPLE-SA-2003-03-24 Samba, OpenSSL
　http://lists.apple.com/archives/security-announce/2003/Mar/24/applesa20030324sambaopen.txt

　CERT/CC Vulnerability Note VU#997481 2003/03/26 追加
　Cryptographic libraries and applications do not adequately defend against timing attacks
　http://www.kb.cert.org/vuls/id/997481

　LinuxSecurity 2003/03/25 追加
　GENTOO LINUX SECURITY ANNOUNCEMENT 200303-23
　http://www.linuxsecurity.com/advisories/gentoo_advisory-3052.html

　LinuxSecurity 2003/03/25 追加
　GENTOO LINUX SECURITY ANNOUNCEMENT 200303-24
　http://www.linuxsecurity.com/advisories/gentoo_advisory-3055.html

　MandrakeSoft Security Advisory 2003/03/25 追加
　MDKSA-2003:035 openssl
　http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:035

　Turbolinux Security Advisory 2003/03/27 追加
　TLSA-2003-22 RSA キーが解読される問題
　http://www.turbolinux.co.jp/security/TLSA-2003-22j.txt

　Turbolinux Security Advisory 2003/03/27 追加
　TLSA-2003-22 The RSA key is decoded
　http://www.turbolinux.com/security/TLSA-2003-22.txt

　NetBSD Security Advisory 2003/03/27 追加
　NetBSD-SA2003-005 RSA timing attack in OpenSSL code
　ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2003-005.txt.asc

　LinuxSecurity 2003/03/27 追加
　Trustix Secure Linux Security Advisory #2003-0013
　http://www.linuxsecurity.com/advisories/trustix_advisory-3074.html

＜リリース情報＞
▽ Linux kernel 2.5.66-bk3
　Linux kernel 2.5.66-bk3がリリースされた。
　http://www.kernel.org/

▽ Linux kernel 2.5.66-ac1
　Linux kernel 2.5.66-ac1がリリースされた。
　http://www.kernel.org/

▽ Snort 2.0 rc1
　Snort 2.0 rc1がリリースされた。
　http://www.snort.org/

＜セキュリティトピックス＞
▽ トラブル・メンテナンス速報
　マイクロソフトトラブル情報が複数更新されている。
　2003/03/28 更新
　http://support.microsoft.com/default.aspx?scid=%2fisapi%2fgomscom.asp%3ftarget%3d%2fjapan%2fsupport%2fsokuho%2f

▽ 調査・統計
　経済産業省：情報セキュリティ監査制度の運用開始について
　http://www.meti.go.jp/policy/netsecurity/information_audit.html

▽ ウイルス情報
　トレンドマイクロ、WORM_BIBROG.E
　http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_BIBROG.E

▽ ウイルス情報
　シマンテック、W32.HLLW.Suava
　http://www.symantec.com/region/jp/sarcj/data/w/w32.hllw.suava.html

▽ ウイルス情報
　シマンテック、Backdoor.Fluxay
　http://www.symantec.com/region/jp/sarcj/data/b/backdoor.fluxay.html

▽ ウイルス情報
　日本ネットワークアソシエイツ、Uploader-D.b
　http://www.nai.com/japan/virusinfo/virU.asp?v=Uploader-D.b

▽ ウイルス情報
　エフセキュア、Lovgate
　http://www.f-secure.co.jp/v-descs/v-descs3/Lovgate.htm

【更に詳細な情報サービスのお申し込みはこちら
　　 https://shop.vagabond.co.jp/cgi-bin/mm/p.cgi?sof01_sdx 】

セキュリティホール情報＜2003/03/28-2＞

Scan PREMIUM 会員限定記事

今日もどこかで情報漏えい第23回「2024年3月の情報漏えい」なめるなという決意ここまでやるという矜恃

Linux の GSM ドライバにおける Use-After-Free の脆弱性（Scan Tech Report）

訃報：セキュリティの草分けロス・アンダーソン氏死去 67 歳、何回分かの生涯に匹敵する業績

ガートナークラウドクッキング教室～ CCoE 構築の重要性

カテゴリ別新着記事

Scan PREMIUM 会員限定記事

今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

Linux の GSM ドライバにおける Use-After-Free の脆弱性（Scan Tech Report）

訃報：セキュリティの草分けロス・アンダーソン氏 死去 67 歳、何回分かの生涯に匹敵する業績

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Windows カーネルドライバの IOCTL 処理にアクセス制御不備の脆弱性

TvRock にサービス運用妨害（DoS）と CSRF の脆弱性

NETGEAR 製ルータにバッファオーバーフローの脆弱性

RoamWiFi R10 に複数の脆弱性

Linux の GSM ドライバにおける Use-After-Free の脆弱性（Scan Tech Report）

Armeria-saml に SAML メッセージ取り扱い不備

インシデント・事故 記事一覧へ

雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

タカラベルモントの海外向けウェブサイトのサーバがフィッシングメール送信の踏み台に

LINEヤフー委託先への不正アクセス、報告書を受け 2 度目の行政指導

Acompany で 4 件の Google フォーム誤設定、最大 164 名の個人情報が閲覧可能に

笛吹市商工会へのサポート詐欺被害、調査結果公表

調査・レポート・白書・ガイドライン 記事一覧へ

重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

2024年第1四半期 IPA 情報セキュリティ安心相談窓口の相談状況、サポート詐欺被害時の漏えい可能性判断ポイントほか

2024年第1四半期「JVN iPedia」登録状況、最多アクセスは WordPress 用プラグイン WordPress Quiz Maker Plugin における不適切な入力確認の脆弱性

国内カード発行会社のドメイン毎の DMARC 設定率 36.2％「キャッシュレスセキュリティレポート（2023年10-12月版）」公表

社員のセキュリティ意欲高める施策とは？ 罰則は逆効果 ～ プルーフポイント「2024 State of the Phish」日本語版公表

セキュリティにおける効果は実感できるのか ～ SECURITY ACTION 宣言「得られた効果はない」最多

研修・セミナー・カンファレンス 記事一覧へ

札幌で「CSIRT のはじめ方」ワークショップ 5/16 開催、北海道在勤在住者は参加費 5 万円が無料

スペシャリスト集結！ マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは？ AeyeScan 導入企業との公開対談

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

Reject 運用のポイント他 ～ 日本プルーフポイント「DMARC Conference 2024」5 月末 大手町で開催

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

製品・サービス・業界動向 記事一覧へ

NDIAS「車載器向けセキュリティ技術要件集」活用したコンサルサービス提供

脆弱性診断自動化ツール「AeyeScan」を基盤に「診断マネジメントプラットフォーム」を提供

脆弱性診断自動化ツール「AeyeScan」アップデート、Apache httpd の脆弱性スキャンルール追加

研究開発の推進責務が撤廃ほか ～「NTT法」改正法律成立を受け NTT がコメント

SHIFT SECURITY、OWASP Top10 for LLMs に基づいた「生成AI活用システム診断」リリース

情報処理学会、高等学校情報科の全教科書の用語リスト公開

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

今日もどこかで情報漏えい第23回「2024年3月の情報漏えい」なめるなという決意ここまでやるという矜恃

訃報：セキュリティの草分けロス・アンダーソン氏死去 67 歳、何回分かの生涯に匹敵する業績

ガートナークラウドクッキング教室～ CCoE 構築の重要性

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

雨庵金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

調査・レポート・白書・ガイドライン記事一覧へ

重い高い検索も使いにくいメールを企業の 6 割が使う理由

社員のセキュリティ意欲高める施策とは？罰則は逆効果～プルーフポイント「2024 State of the Phish」日本語版公表

セキュリティにおける効果は実感できるのか～ SECURITY ACTION 宣言「得られた効果はない」最多

研修・セミナー・カンファレンス記事一覧へ

スペシャリスト集結！マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは？ AeyeScan 導入企業との公開対談

ガートナークラウドクッキング教室～ CCoE 構築の重要性

Reject 運用のポイント他～日本プルーフポイント「DMARC Conference 2024」5 月末大手町で開催

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

製品・サービス・業界動向記事一覧へ

研究開発の推進責務が撤廃ほか～「NTT法」改正法律成立を受け NTT がコメント

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ