パスワードを忘れた? アカウント作成
249069 story
セキュリティ

Winnyで4件の新たな脆弱性が発見される。対策は「Winnyを使用しない」 34

ストーリー by hylom
まさか使っている人はいないですよね? 部門より

あるAnonymous Coward 曰く、

JPCERTは8月20日、Winnyにおける新たな脆弱性4件を発表した。バッファオーバーフローの脆弱性2件と、ノード情報およびBBS情報の処理に関する脆弱性の合計4件で、前者は任意のコードを実行される可能性が、後者はDDoS攻撃に悪用される可能性があるという。

対策方法としては「Winnyを使用しない」。現在刑事事件に係属中のため、開発者による対策の提供予定はないとのこと。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • デジャヴ? (スコア:3, すばらしい洞察)

    by masakun (31656) on 2010年08月23日 20時30分 (#1814029) 日記

    Winnyにバッファオーバーフローの脆弱性 [srad.jp]

    nextによる 2006年04月22日 0時28分の掲載
    脆弱性の回避方法は利用中止部門より

    いったい何年前からWinnyの利用中止が叫ばれているのだ?

    • by Anonymous Coward

      IPv4アドレスが枯渇して一般人はLSNの背後で強制Port0な世の中になればいやでも終了するよ。
      WinnyプロトコルはペイロードにIPv4アドレスが埋め込まれていて拡張性もないので、IPv6に対応するにはプロトコル自体をバージョンアップする必要がある。

  • by O1iver (31019) on 2010年08月24日 17時37分 (#1814523) ホームページ 日記

    Winnyの脆弱性の結構な割合はC++ BuilderにおけるAnsiStringの誤った使い方(c_str()を使い方がマズい?・本来使うべきでない所で使うなど;たとえばRC4キーの途中に00を含むとそこまでをキーとする、とかもそれの1つ)に起因すると聞きました。

    今回みつかった中にもAnsiString起因する物があるのかどうかは知りませんが、少なくとも何の意味があるのか分からないRC4の使い方含めて(ソフトの趣旨自体がブラックというツッコミを置いても)Winnyの実装のセキュアさにはこれまでにもかなりの疑問符が付いていたと思います。金子さんはアルゴリズムとかは詳しくても細かいライブラリの仕様とかは門外漢なのかなという感じがします。

    新たなセキュリティホールの発見は、サードパーティーのパッチを当ててまでして使おうとする一部の間違った部分だけセキュリティ意識の高い人には関係のある話かもしれませんが、一般人や、それ以外のユーザーを含め、新たに状況が大きく変化する物ではないと思います。

    • by Anonymous Coward
      実験室内で使うなら、
      とりあえず正常系が、それらしく動作していればいい
      というレベルで十分であり、セキュアなコーディングのスキルは求めらず、それを習得する必要もなかったのでしょう。
  • いろんな意味にとれるかもしれませんが、係争中で対策が取れないほうがいいような気もします。
    開発者がWinnyのバグを修正したりしてまた新たなバージョンが出たらそれこそさらに注目を集めてしまうような気もします。

  • Windows は? (スコア:1, フレームのもと)

    by reininn (35924) on 2010年08月24日 14時44分 (#1814444)
    Windows で対応しない重大な脆弱性が発見されたら
    「Windows を使用しない」
    ように呼びかけないと、辻褄が合わない。
    ような気がする。

    金子先生に「修正するように」呼びかけないのだろうか?
    そうすると、MSに、「Windows 2000を修正するように」呼びかけないといけないから?
    開き直って Windows 2000で Winny 使うか。
    • Re:Windows は? (スコア:1, 参考になる)

      by Anonymous Coward on 2010年08月24日 15時02分 (#1814451)
      「更新しない」という旨の誓約書を京都府警に書かされた筈ですが、それはどうなったのでしょうか。
      親コメント
      • by Anonymous Coward
        京都府警は、そのような誓約書は書かせていないと否定してるが?
        ってことを、君みたいに書くやつに対して何度も何度も何度も
        教えてあげているのに、馬耳東風とはこのことか。

        正式には誓約書ではなく上申書だったという話もある。
        「Winnyは更新しませんから起訴しないで。」
        って言う感じだったのか知らないが。

        まだ係争中なので、京都府警か金子被告のどちらかが嘘をついているのか
        それは定かではないが。
        • by Anonymous Coward

          >まだ係争中なので、京都府警か金子被告のどちらかが嘘をついているのか
          >それは定かではないが。

          そもそも、そんなところ争点になってないし別にどっちも嘘ついて無いだろ。
          1.作者側が誓約書を書くと言い出す
          2.警察がサンプル書いて持ってきて作者がそれを書き写した
          この流れで、作者方は脅されて書いた訳ではないけど自分の考えた内容を書いたんじゃなくて写しただけだと言ってるだけ。内容がサンプルの写しなのは警察も認めてるし。

          てか、そんなどうでも良い話以前にソースコードを京都府警に押さえられっぱなしだろ。

      • by Anonymous Coward
        誰の言ってる事が本当で嘘なのかわからないけど、そんな事を強制できる権限は警察にあるの?
    • by Anonymous Coward
      サポート期限の切れた「Windows を使用しない」ようマイクロソフト自身が呼びかけております。
    • by Anonymous Coward

      Windows 2000とやらが修正されないのは、サポート期間切れだからでしょ。
      というか、既に色んなところからWindows 2000はもう使わないように呼びかけられてると思いますが・・・
      でもって、金子氏がWinnyを修正できないのは係争中だから。

      そもそもWindowsで動くだけで、それ以外はWindowsと関連もないし
      何が言いたいの?さっぱりわからんよ。

    • by Anonymous Coward

      当然Windowsだけに限らないんだが

    • by Anonymous Coward

      > そうすると、MSに、「Windows 2000を修正するように」呼びかけないといけないから?

      MS自身が修正阪提供をサポートしている後継製品に乗り換える様にユーザー呼びかけてるけど?
      乗り換え用のツールも提供してるし。

  • by chokkan (40227) on 2010年08月24日 15時13分 (#1814459)

    官房長官時代に、Winnyの使用中止を呼びかけてました。

    Winyyを介した情報漏えいについて [kantei.go.jp]

    #これでやめた人はいたのかなぁ。

  • by hosonaga (37338) on 2010年08月24日 23時12分 (#1814722)

    せっかく脆弱性があるんだし、それ使って「危険ですよ!」的なメッセージでも
    出してあげたらいいのでは?
    この手のは実際に自分が被害者にならないとやめないと思う

    • by kei100 (5854) on 2010年08月24日 23時18分 (#1814726)

      そんな手が後ろに回りかねない攻略コード書く物好きがどれ程居るのでしょうか。
      今のWinnyネットワークは、色々な研究機関とかがモニタリングしてるので高確率で攻略パケットの発信元を把握されるでしょうし。

      CodeRed的なウィルス/ワームの母体乗っ取りレースとか嫌過ぎます。

      # せいぜい、管理下LAN(ただしグローバルIPで構築)内とかが限度だと思う。

      --
      私を信じないで、貴方を裏切ってしまうから。
      親コメント
  • by Anonymous Coward on 2010年08月24日 14時26分 (#1814431)
    開発者が修正しなくても有能なユーザが修正してくれるかもしれない。
    悪意のあるユーザから「修正してあげるよウイルス」が放流されたら蔓延しちゃう気がw
  • by Anonymous Coward on 2010年08月24日 14時28分 (#1814433)
    副作用がありますから、止めましょうね。
    と言っているようなもん。
    笑止。
    • by Anonymous Coward
      副作用の他にどんな問題が?

      人に煙の臭いを嗅がせたり、ラリって人に襲い掛かったり
      しないようなところで、ひっそり楽しむ分には、
      第三者が文句を言う筋合いの門でもないと思うが。
      • by Anonymous Coward
        そりゃ、社内LANとか、家庭内LANとかに限ってpoem交換に使えば
        第三者は文句を言わないと思いますよ。
  • by Anonymous Coward on 2010年08月24日 19時55分 (#1814607)
    winnypを使えばいいじゃない
  • by Anonymous Coward on 2010年08月24日 20時50分 (#1814642)
    Winnyをまだ使ってる様な人なら、とっくにマシンはWinny以外何も入ってない専用機にリプレース済みでしょう。
    カジュアルユーザーはShereに移行したんじゃないかな。
  • by Anonymous Coward on 2010年08月24日 21時41分 (#1814663)
    もしかして、DDoS攻撃に悪用される脆弱性というのは、
    ・自身が中継する全てのクエリに対して、キャッシュを保持しているノードの情報を攻撃対象のIPアドレス&ポート番号に差し替える
    ・いかなるキャッシュのクエリに対しても、攻撃対象のIPアドレス&ポート番号で回答する
    だったりして。

    バイナリコードを解析せずとも原理的に予想が付くよね。
    たとえば1万ノードに偽のキャッシュ保持情報をたっぷり掴ませれば、1万ノードが1秒に1回のペースで攻撃対象にTCPで接続に行くわけだ。
    ただ接続して何か喋って切断される・・・を繰り返すだけでも、かなりキッツイよね。

    もう脆弱性が明らかになったので、こういう話もしていいんだよね。

    他にも未だに公開されていない脆弱性を知ってるけど、報告するだけ無駄なので黙ってる。
  • by Anonymous Coward on 2010年08月24日 22時09分 (#1814682)

    暗に「俺はWinny使ってるぜ」と言ってるようなコメントがたくさん

typodupeerror

Stay hungry, Stay foolish. -- Steven Paul Jobs

読み込み中...