パスワードを忘れた？ アカウント作成
Close
14639 story

MOAB総括 — サード・パーティー編 47

ストーリー by yourCat
素早い対応のベンダーに好印象 部門より

the Month of Apple Bugs (MOAB) の内容と対策。第3回はMac OS X上でのサード・パーティー製品の問題を取り上げる。
例によってMOABとは内容が異なる場合がある。また「怪しいファイル (リンク・メール含む) は開かない」「webブラウザーなどの、ダウンロードしたファイルを自動で開く機能を使わない」といった基本的な対策は割愛した。Mac OS X上では、いくつかの問題はMOAB Fix Groupで開発しているMOAB修正パッチ (APE用モジュール) で修正できる (現時点で最新リリース版は27-1、apeと付く方はビルド済み、svnあり)。

(つづく...)

  • MOAB-07-01-2007: OmniWebのJavaScriptにフォーマット・ストリング脆弱性
    対象: OmniWeb 5.5.1。以前のバージョンも影響の恐れあり。
    概要: JavaScript alert() 関数にフォーマット・ストリング脆弱性があり、リモート攻撃の危険がある。
    対策: 問題を修正したOmniWeb 5.5.2以降を使う (現行バージョンは5.5.4b1)
  • MOAB-08-01-2007 (ウザイ音声Flashあり、閲覧注意): Application Enhancer (APE) にローカル権限昇格の脆弱性
    対象: APE 2.0-2.0.2
    概要: APEの /Library/Frameworks パーミッション設定がセキュアではないため、ApplicationEnhancer.frameworkを書き換えることで、ローカル権限昇格してしまう危険性がある。
    対策: 問題が修正されるまでAPEを使わない。または /Library/Frameworks のadminグループの権限変更や書き換え抑制など。
  • MOAB-16-01-2007: Colloquyにフォーマット・ストリング脆弱性
    対象: Colloquy 2.1 (3545) 以前
    概要: IRCクライアント・ColloquyのINVITEハンドリングにフォーマット・ストリング脆弱性がある。
    対策: 問題を修正したColloquy 2.1 (3558) 以降を使う。現行バージョンは2.1 (3574)。
  • MOAB-18-01-2007: Rumpusに複数の脆弱性
    対象: Rumpus 5.1以前
    概要: FTPクライアント・Rumpusにヒープ・ベースのバッファー・オーバーフロー脆弱性があり、リモート攻撃の可能性がある。
    対策: 問題を修正したRumpus 5.1.1以上を使う。現行バージョンは5.1.2。
  • MOAB-19-01-2007: Transmitにバッファー・オーバーフロー脆弱性
    対象: Transmit 3.5.5以下
    概要: FTPクライアント・TransmitのSFTPハンドラにヒープ・ベースのバッファー・オーバーフロー脆弱性がある。ftps://スキームで長い文字列を渡すことで、リモート攻撃が可能になる。
    対策: 問題を修正したTransmit 3.5.6以上を使う。
  • MOAB-27-01-2007: Flip4Macによるメモリ破壊の脆弱性
    対象: Flip4Mac Windows Media Components for QuickTime 2.x (SA23958)
    概要: QuickTime用WMV互換コンポーネント・Flip4MacのIntelバイナリーに、ASF_File_Properties_Object に不正な値をセットしたASFファイルによるメモリ破壊の脆弱性。リモート攻撃の危険もある。
    対策: 次のバージョンで修正されるので、それまで使用を控える。MOAB修正パッチ対応済み。
最後になったが、この件に関するFuller氏へのインタビュー記事を紹介する。自分が使うから修正パッチを書いただけだ、Java GIF脆弱性の修正パッチも含めたのはMac版ZERTになればと思ったなど、かなり格好いい。最後のくだり、Macコミュニティーのセキュリティーへの関心の低さに警鐘を鳴らす部分、は耳が痛い。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

MOAB総括 — サード・パーティー編 More

  • Macユーザは興味なし？ (スコア:1, 興味深い)

    by Anonymous Coward on 2007年02月15日 11時13分 (#1110337)
    MOABネタをみてると、MacネタなのにMacユーザの登場率が
    少なすぎる気がする。

    都合の悪いものは見たくないのか、それともMacユーザは
    セキュリティに無関心なのか。

    • Re:Macユーザは興味なし？ (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年02月15日 12時11分 (#1110373)
      非依存編とかサードパーティー編だからじゃないの?
      私の場合は最終編が出てから何か書こうかと思っていたし。

      とりあえず今言えるのは、Landon Fuller氏と私では
      よく使うアプリやサービスが違う、というくらい。

      OmniWebやVLCはインストールしてるけど、使う機会が
      ないからバージョンが古いまま。←余計危ない!?

      もちろんOSXにセキュリティー上の問題があることは
      知ってるし、そのようなものはこれからもどんどん出て
      くるだろうし、ラーメンズのCFが不適切でかつ不快に見
      えるのは同意。
      オチも面白くないしねー。

      シェア
      親コメント

    • Re:Macユーザは興味なし？ (スコア:1, 興味深い)

      by Anonymous Coward on 2007年02月15日 14時32分 (#1110472)
      個人的には、MOABの目的というか狙いというかがどうも胡散臭いと感じるんで。結果は幾つも出て来たものの、どうも、ね。
      # うまく表現できないけど。
      シェア
      親コメント
      • MOABの目的というか狙いというかがどうも胡散臭いと感じるんで。

        MOABの文章は他人を小馬鹿にしているし、ネタの水増しだし、そもそもウザイ音声FlashやヒートアップJPEG2000を埋め込んで喜ぶような方たちですからね、胡散臭く感じる人は多いでしょう。Fuller氏のインタビュー記事でもちょっと触れられていますが、MOABのLMH氏 (サングラス書けたモノクロの肖像画の人) がMOAB Fix Groupに協力を申し出たときのGroup側の一部に見られる拒絶反応 [google.com]によくあらわれています。
        わたしも、記事で取り上げて、wanabe達の虚栄心を満たしてやることもないのではないかと思ったこともありましたが、Fuller氏のインタビュー記事を読んで思い直しました。

        # /.Jに登場することで彼らがどれだけ満足するかは、はなはだ疑問ですが
        結果は幾つも出て来たものの、どうも、ね。

        ものは考えようで、クラックされるよりは虚栄心を満たされることを望む方が余程いいです。
        見返りに脆弱性が明らかになり、対策もとられつつあります。
        なによりも、このことでMacコミュニティーが少しでもセキュリティーに関心を持ってくれることが大事でしょう。

        シェア
        親コメント
    • ＞都合の悪いものは見たくないのか、それともMacユーザはセキュリティに無関心なのか。
      Macユーザ (これは windows で見てるが) だけど、セキュリティには関心あるし、都合の悪いところなど別にないな。(どれも使ってない)
      これにどう参加しろって言うの？(一応、Macユーザへの質問には答えたよ。質問じゃなかったかも知れんが)
      無意味な悪口の応酬に参加するほどヒマでないし・・・
      --
      the.ACount
      シェア
      親コメント
    • 絶滅危惧種ですから

  • MOAB-19-01-2007部分のタレコミを要約すると、「TransmitのSFTPハンドラに脆弱性があり、ftps://スキームで長い文字列を渡すと攻撃可能」と書かれていて、MOAB-19-01-2007 [info-pull.com]にもその通り書いてあります。

    sftpとftpsは別のプロトコルですし、MOAB-19-01-2007で一時的な回避策として利用するRCDefaultAppでももちろん別のエントリーになっています。対策済み版というTransmit 3.5.6の変更点のページを探しましたが見つけられませんでした。アプリを落としてみましたがREADMEファイル等はなく、ヘルプにも記述が無さそうです。いったいsftpとftpsのどっちなんでしょうね。
    # Transmit利用者じゃないんでどちらでも構わないんですけれど

    • FTPSハンドラだから、本当はFTPSの事なのだと思う。
      SFTPと書いてあるのは、（MOABの）単純な記述ミスかな？

      日本代理店のリリースノートにも、FTPSハンドラ、と書いてある。
      http://www.panic.com/jp/transmit/releasenotes.html

      僕も使ってないので、関係ないのだけれども。
      でも、日本代理店のページみてたら、ちょっと欲しくなった…
      シェア
      親コメント

      • 書いてくださったリリースノートURLの途中を削ったら英語版 [panic.com]が出てきました。sftpというのは誤記のようですね。MOABでは触れられていないftpハンドラーにも脆弱性があって、ついでに直したってことかな。

        Fixes potential security vulnerability with FTP and FTPS URL handlers
        # 多機能そうですけれど、いるかどうかは別問題っと。
        シェア
        親コメント

  • OmniWeb (スコア:0)

    by Anonymous Coward on 2007年02月16日 4時05分 (#1110711)
    かつてNeXTでOmniWebを使っていたことがあったのですが、まだ生き残っていたなんて！　と驚きました。
    NeXTで使っていた頃はバージョン1と2でしたが、1の頃は背景画像や文字色の表示にも対応しておらず苦労した懐かしい思い出があります。それがバージョンも5になり、タブブラウザ機能も内蔵して、脆弱性の指摘もしてもらえるくらいに有名（？）に……
    知らない間に随分立派に成長していたんだなとちょっと感慨深いです。
typodupeerror

長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds