圧縮・展開ルーチンに脆弱性、bzip2など相次ぎリリース

iida 曰く、

フィンランドのOulu University Secure Programming Groupが、各種アーカイブファイルを扱うソフトウェアに脆弱性を発見、公表した。対象は多岐に渡り、いわゆるアーカイバのほか、アンチウイルス、状態を維持するタイプのファイアウォール、バックアップ、オフィス、OSやライブラリなども含まれる。

7-Zip、bzip2、Debian、F-Secure、FreeBSD、Gentoo、RARLAB、SUSEなどが、新版をリリースしたり、アドバイザリ情報を公表したりしている。

対象広すぎ

[quabbin (17251)]

タレコミにあるCERTの文章によると、対象は

the archive formats ACE, ARJ, BZ2, CAB, GZ, LHA, RAR, TAR, ZIP and ZOO.

だそうで、本当にこれだけ対象が広いとすると解消されるまでには大きく時間がかかるでしょう。
中にはZOOなんて懐かしいものも含まれていますし…ってメンテナは居るのだろうか。

ボスケテ！

[Anonymous Coward]

GentooでもDebianでも無いディストリビューションの人は、どうやって
対応したらいいんですかい？

使ってて、該当してる圧縮形式のモジュールを全部ダウンロードしてき
て、コンパイル入れればいいのですかね？どのライブラリに影響がある
とか判らんですよ。

Re:

[Anonymous Coward]

yum update

# え？ debian 系以外は、全てredhat 系だと思い込んでますが？違う？

なんとなく、

[Anonymous Coward]

圧縮・展開モノの脆弱性てぽろぽろ発見される印象がありますね。。

旬をすぎました(?) が、、、、ここは是非 djb [cr.yp.to] 氏に djbzip2 でも作ってほしいところ。

Re:なんとなく、

[Another_View (29838)]

djbzip(フロントエンド）、djbzip-comp(圧縮本体)、djbzip-decomp(展開本体)、djbzip-list(ファイル一覧取得)、djbzip-add(ファイル追加)、djbzip-del(ファイル削除)等々の多数のバイナリで構成されることになります。

Re:

[Anonymous Coward]

でも共通アーカイバ風に圧縮解凍系だけ djb-arch-comp/decompとかに分離できたら djb-archive コマンド(他)で全部OKとかなると便利かもねぇ。

# gzipはあってもbzip2がないとかpaxがないとかモノによってあるんで。
## モデした人なのでACで

勝ち組

[Anonymous Coward]

安全とか言ってたLinuxでもこのざま、いつも安全なMac最強

Re:勝ち組

[Anonymous Coward]

ああ、あれは勝ち勝ち鳥が鳴いているのさ。このへんは勝ち勝ち山だからね。
ん？今度はボウボウという音がする？
なあに、それはボウボウ鳥が鳴いているだけだよ、心配いらない。

Re:

[Anonymous Coward]

アップルがこんな宣伝してるから、仕方ない面もあるが。
http://www.apple.com/jp/getamac/viruses.html [apple.com]

OSXには数々のオープンソースソフトが組み込まれているので、Macだけは
いつも安全なんて口が裂けてもいえません。

最近は、MacもインテルCPUで動いてたりするから、バイナリコードは動い
ちゃうでしょうしね。

Re:

[Anonymous Coward]

あなたにたりないのは、ネタを見抜く眼力と
スルー力。

Re:

[Anonymous Coward]

足りないのは、ウィットに富んだコメントを返す
ユーモアと思われ。

Re:勝ち組

[Anonymous Coward]

＞ウィットに富んだコメント

ウィットが飛んだコメントなのですよ

FreeBSD

[keepiru (34886)]

のリンク先の SA は 2007-07-02 付けなんですけど、そっれてどいいう意味が？

どんな脆弱性？

[Anonymous Coward]

脆弱性の種類ぐらい書いてくれよ。せめて編集車がどにかしろよ。

で、バッファオーバーフローってことで合ってる？

Re:どんな脆弱性？

[Anonymous Coward]

ヘッダの最初のほうだけまともで後のほうが無茶苦茶なデータを食わせるテスト（fuzzing)してみたら，
いろんなソフトがcore dump吐いて死んだぜ！

多分それってセキュリティホールだよね。という報告かと。。。

なので，一概にバッファオーバーフローのみとは限らない。けど。。。
http://security.freebsd.org/advisories/FreeBSD-SA-07:05.libarchive.asc
なんかにあるように，実際にバッファサイズのチェックしてなかったよ！っていう報告が上がっているわけで。

まぁ，ヘッダの最初のほうだけしっかりチェックして，だんだん後になるにつれて。手抜き傾向にあるってことでしょうね。操作ミスで変なデータを食わせられただけならそれで十分機能しますし。

#職場から昼飯くいながらなのでA.C.

Re:どんな脆弱性？

[akira_t_t (31146)]

元ACです、誤解を招く書き方でごめんなさい。
>いろんなソフトがcore dump吐いて死んだぜ！
>多分それってセキュリティホールだよね。という報告かと。。。

異常動作したから、セキュリティホールの可能性があると思って、調査して各ベンダに報告したよ～って所ですね

Vendor Information
って一覧表の「Vulnerable」欄に「yes」ってあれば脆弱性が確認されていて、(無限ループでDoSったり、バッファオーバーフローしたり）
「Fixed version or URL」になんか書いて有れば修正済み。

Not Vulnerableって書いてあるやつは心配はいらない。（純粋にcore吐くだけで無害)
Unknownは確認してないってことでしょう。

Re:どんな脆弱性？

[cljack (22418)]

> ヘッダの最初のほうだけまともで後のほうが無茶苦茶なデータを食わせるテスト（fuzzing)してみたら，
> いろんなソフトがcore dump吐いて死んだぜ！
> 多分それってセキュリティホールだよね。
coreを吐く = セキュリティホール
ではないでしょう．
coreを吐いたということはOSの保護機能が働いた証拠ともいえるし．

もちろん，保護機能が働かない程度にゴニョゴニョしたり，
setuidだったりネットワークアプリケーションだったりする場合は
セキュリティホールになる可能性は高いでしょうが．

Re:どんな脆弱性？

[Anonymous Coward]

可能性として
ウェブアプリでサーバサイドでアーカイブの展開処理を組み込んでた場合には
攻撃者としてはウェブサーバごと落としてサービス拒否させることが可能だから
コアダンプを吐くような状態は脆弱性だと思うのですが…

Re:どんな脆弱性？

[Youyu Minazuki (4297)]

展開の外部プログラムを呼び出す訳だから、ウェブサーバは落ちないと思うんだけど・・・

Re:どんな脆弱性？

[takano32 (17535)]

ウェブサーバデーモンは落ちないけどウェブサーバは落ちるって文脈じゃないの？

落ちるってのもカーネルパニックとかではなくてDoS食らってるってことだと思うよ。

--
旅に出ます．(バグを)探さないで下さい．

Re:

[Anonymous Coward]

ちゃんと原文を読んでないのでアレですけど、展開ルーチンに問題があったんじゃなくて
bzip2からさらに外部のプログラムを呼ぶとこがあってそこに脆弱性があるって話しなんですか？
元コメントはたとえばapache httpdにmod_hogehogeって自作モジュールを組み込んでそのなかで
アーカイブの展開ルーチンを呼び出してて件のファイルを処理したら、
動作形態によりますがスレッドベースなら落ちませんか？

Re:どんな脆弱性？

[Youyu Minazuki (4297)]

苦手な英語をさらに斜め読みなので間違っていたらもうしわけないのですが、「いろんな製品にいけないもの食べさせたらみんなおなか壊しちゃった」といった感じにみえました。

特に単体のプログラムを限定しているわけではないようなので、サーバに組み込むタイプなら落ちるかもしれないですね。
でも、そこまでテストしてるのかな？

Re:

[Anonymous Coward]

自分の場合ですけど、ぶっちゃけgzipとかbzip2みたいなどこでも使われてるようなものなら
最新のバージョンのものでセキュリティアドバイザリがでてなければなにもかんがえずに
最新版のtarball拾ってきて組み込んじゃいますね。。。

Re:

[Anonymous Coward]

＞でも、そこまでテストしてるのかな？

もともと、

＞ coreを吐く = セキュリティホール
＞ ではないでしょう．

というコメントに対して
ライブラリとして組み込まれることを考えればcoreを吐く異常終了も脆弱性でしょって話をしているだけなので
実際にウェブアプリに組み込んでテストした、していないは関係ないでしょ。

Re:

[Anonymous Coward]

それを言い出してしまうと、画像ファイルのヘッダだけ正確で中身出鱈目でCoreするぜとか、動画
ファイルでも…以下略　とか、色々なところに適用できてしまいそうですね。

どのような脆弱性が出てくるのかというのはソフト(またはソフトが使っているライブラリ)に依存する所が多いので、チェックには時間かかるでしょう。

Re:どんな脆弱性？

[127.0.0.1 (33105)]

ストーリーにあるフィンランドのCERTのページでは以下のように書かれています。

>The impact from vulnerabilities identified as part of this research, can potentially
>expose Denial-of-Service (DoS) and/or buffer overflow conditions. In some cases, it may
>even be possible for an attacker to execute code on the affected system.

Re:

[Anonymous Coward]

意訳して「想定外の脆弱性」って訳したらだめ？

想定の範囲内のってどんなのだよ

Re:

[Anonymous Coward]

>想定の範囲内のってどんなのだよ
仕様として定義されている動作のうち、脆弱性と見えることもある動作

Re:

[Anonymous Coward]

>想定の範囲内のってどんなのだよ

利便性(ユーザビリティ)とトレードオフで犠牲になっているセキュリティは、想定出来る脆弱性じゃないですかね。

たとえばWeb上のサービスによくあるパスワードを忘れた時の秘密の質問なんてものは
セキュリティ的な観点ではわざと抜け道を作っているわけで、想定内の脆弱性と言えます。

debianでlibarchiveは1月にfixされてるけどbzip2はまだ？

[Anonymous Coward]

7-zipも12月の更新でfixされたことになってるし、タイミングがバラバラですけど、近々更新されるのでしょうね

7zipサイト

[Anonymous Coward]

最近7-Zipのサイトで日本語を含め英語以外の全ての言語のページが見れなかったのはこれが関係しているんですかね

bzip2 1.0.5

[Anonymous Coward]

bzip2 の 1.0.5 ですが libbz2.so.1.0.4 が出来る
ようなんだが、これでええのかね？
1.0.5 への修正洩れ？

Re:bzip2 1.0.5

[sanbon (24823)]

gentoo の場合は libbz2.so.1.0.5 が出来ますが、マニュアル類もあわせてgentoo独自のバージョン修正が入っています。

Re:bzip2 1.0.5

[sanbon (24823)]

書き漏らしましたが、soname は libbz2.so.1 のまま変わらないですし実体が libbz2.so.1.0.4 だったとしても特に問題になることはないでしょう。