« 2006年10月 | メイン | 2007年01月 »

2006年11月30日

ProFTPDの脆弱性について(続報)

ProFTPDの脆弱性についての正確な情報を入手しましたのでお知らせします。

1.ProFTPDにおける不適切なCommandBufferSize設定によるスタックバッファオーバーフローの脆弱性
proftpd.confにてCommandBufferSizeの値に512より大きい値を設定している場合は全てのバージョン(最新版の1.3.0aにおいても)に影響があります。

対策
→CommandBufferSizeの値に512以下の値を設定する。又は設定をしない。
当サイトのサーバにおきましては確認済みです。

2.ProFTPD 1.3.0のフォーマット処理におけるバッファオーバーフローの脆弱性
1.3.0aを除く1.3.0系列の全てに影響があります。

対策
→1.3.0aにバージョンアップする。又は1.2系列の最新版にする。
当サイトのサーバにおきましては昨夜のうちに1.3.0aに変更済みです。

上記バージョンを使用し、ユーザにてファイルの作成が可能であるシステムにて実際に攻撃可能であることが実証されています。ProFTPDを利用してFTPサーバを公開している方はご注意下さい。

2006年11月29日

ProFTPdにバッファオーバーフローの脆弱性

11月27日付けでFTPサーバソフトであるProFTPDに1.3.0aが出ましたのでアップデートしました。

CVE-2006-581に詳細が上がっているものに対しての修正で、コマンドバッファにチェック漏れがあり、リモートからのDoS攻撃(第三者に任意のコマンドを実行とも)が可能とされているものです。1.3.0に固有のようです(1.3.0以降と書かれていますが、1.3.0aで修正されているため)が、デストリビューションのを使用している場合は1.2.10でも内在している可能性があります。

2006年11月21日

最近はまっているもの

今年もシイタケ栽培の季節がやってまいりました!

061121.jpg

ということで、最近の密かな楽しみがシイタケ育成。原木を買う時になるべく菌の詰まったものを選ぶのがコツです。スカスカだと一本生えてきてお終い、ということが良くあります。切り口に白いものが沢山見えたら当りです。白いのはシイタケ菌の菌糸そのもので、シイタケキノコ自体は胞子を撒くための子実体。それを利用して、原木栽培(養殖)でキノコを生やすには、原本を水の中にほおりこんで菌に生命の危機を体験させるという方法を取ります。命の危険を感じたシイタケは子孫を残そうと子孫繁栄の器官たる子実体、つまりキノコを急激に成長させるという按配。

この原木栽培考えた人はすごいね。と人の知恵と、異様に成長するシイタケ菌の細胞分裂に驚きながら天麩羅にしておいしく頂きました。

ProFTPdの時刻がずれる問題

FTP サーバの設定を変更しました。

FTP サービスは一般のユーザではchrootという機能が働いて、本来のサーバのファイルシステムを隠蔽しています。なので、一般ユーザの方がログインすると自分のホームディレクトリが/(root)に見えるはずです。拡張サービスを使っている方も同様です。

次に、FTPにアクセスしてログインしたりファイルを読み書きするとログが書き出されます。ここで書き込まれるアクセス時刻は、日本時間(JST)であるべきです。ですので、本来サーバソフトはサーバの現地時間設定ファイル(/etc/localtime)を読みに行って、時差(GMT+9時間)でもって、ログファイルに書き込みに行きます。
しかしながら、この現地時間設定ファイルはユーザディレクトリの外にあるため、アクセス出来ません。本来はアクセス出来る権限のあるプロセスが行うので問題ないのですが、glibc-2.3のバグによって出来なくなっていました。

長く書きましたが、これによってログに吐き出されるアクセス時刻がGMT(世界協定時)のままログに書き出されてしまっていました。私(管理者)はFTPでアクセスしても自由にディレクトリを移動出来るようにしているので、現地時間設定ファイルにもアクセス出来、気がつきませんでした。そのためログの時系列が目茶目茶になった挙句、ログが飛んでしまっていました。

これを修正するため、/etc/profile.d/tz.sh というファイルを作成し、そこでTZ環境変数を設定。

# echo 'export TZ=JST-9' > /etc/profile.d/tz.sh
# chmod 755 /etc/profile.d/tz.sh

proftpd.confに

TimesGMT false

offではどうも駄目のようです。

そして、反映させるために、一度サーバを再起動しました。
再起動の予定は無いと書きましたが、急いで修正する必要がありましたのでご理解ください。

ユーザサイドにおいては、サーバの時刻設定をGMT+9時間として頂きたいと思います。

FFFTPにおいては

06112101.PNG

このように設定して下さい。
設定がずれていると、サーバにアップロードしたファイルの時刻がずれて表示されます。

ついでと言ってはナニですが、identという認証に関わる機能を無効化しました。
今まではタイムアウト待ちになって、それから通常の認証となっていましたので、時間が掛かったかと思いますが、ログイン時間が短縮されていると思います。

2006年11月06日

PHP5.2.0

スクリプトエンジンのPHPが5.2.0にバージョンアップしましたので、サーバにも適用しました。

新たなメモリマネージャを搭載、パフォーマンスの向上が図られているそうです。また、入力フィルタリングが追加されて、デフォルトで有効になるよう設定されています。また、htmlentities()やhtmlspecialchars()といったエスケープ関数に存在したオーバーフローの脆弱性も修正されています。
SQLite、PCREライブラリもグレードアップ。

5.1系の開発は5.1.6で終了だそうです。また、潜在的に危険をはらむ脆弱性が修正されていますので、早急にアップグレードすべきです。現在のところ、アップグレードに伴う不具合は見つけていませんが、何かありましたらよろしくお願いします。

http://www.php.net/
リリースノート(英文ですが読めると思います)

2006年11月02日

逝ってヨシ GBB36X

実は3週間程前にマザーをGIGABYTE GA-965P-DS4ってのに入れ替えて、Core2Duo E6600 (2.4GHz x2 4MB)にメイン兼エンコマシンの黒鷲君をグレードアップ(当社比2.5倍速)したのだけど、元々ははそんなつもりは無くて、黒鷲君の電源が入らなくなって、マザーの故障だと思って交換ついでにパワーアップということで、実はマザーが悪いんじゃなくてメモリが燃えていたという結末だったりするのだが…、で本題。

GA-965P-DS4の乗っけているチップセットはICH8Rって奴で、これにはIDEが無い。完全なるSATA×6のチップセットで、これではいまだPATAの多い光学ドライブの接続に困る。そこでGIGABYTEさんはGBB36Xという外付けチップでIDEポートを一個つけ、SATAも2個つけて IDE×1、SATA×6+2というボードをこの世に出されました。ドライバのインスコにも困るだろうとエクスプレスインスコというCDまでおつけなされた。

だが、これは地雷である。

PATA(IDE)コントローラのドライバにGIGABYTEが用意したMicronのドライバ(GIGABYTE GBB36X Controller Ver1.14)を利用するようにし、GIGABYTE RAID Configuratorというソフトも入れてしまう。

一見正常に動作する。しかし、DVD-RやCD-Rを焼こうとしたりするとほぼ100%固まってしまうのである。どうもHDDに特化した拡張ボードとかもあるので、その類なのであろう。しかしPATAは光学ドライブのためにわざわざ設けたはず。本末転倒も甚だしい。おかげさまでバームクーヘン状の鳥除けにしかならない産廃が20枚ほど出来上がりました。ドライブがいかれたかと思いましたが、結論としてこのドライバがいけません。

本来の光学ドライブもちゃんと動くようにするには、

0.IDEが一度死ぬのでドライバCDを丸ごとHDDにコピーするかネットワークで見られるようにしておく。
1.一度デバイスマネージャーから削除する。
2.BIOSでGBB36Xの動作モードをRAID/IDEにする。RAIDと言っても特に設定をしなければふつうに動くのでGIGABYTE RAID Configuratorはアンインストールしておくこと。
3.再起動すると新しいデバイスが見つかりました。と言って来るので、RAID側(SATA側)にはGBB36Xのドライバを入れる。残ったもうひとつ側にはWindows標準ドライバを入れる
4.光学ドライブが再認識される
5.焼きまくってみる

という手順で元に戻せます。
GA-965P-DS3も同様らしいので、これから組み立てる人、これからDVD焼きする人は注意して下さい。

06110201.PNG

このようになっていれば、無事焼ききるはずです。標準デュアルチャンネル~が無ければ9割5分の確立で燃えないゴミになります。また読み込みは正常に出来ますので発見が遅れます。このチップを乗せているマザーで光学ドライブを使っている人は確認してみてください。他にも回避策はあるかも知れません。うちはこれでIDE側で焼きまくってベリファイして、SATA側はホットスワップ可能な事まで確認出来ました。