[an error occurred while processing this directive]
Contents
Sambaとは?
Samba日本語版
ドキュメント
技術情報
紹介&リンク
Community
プロジェクト
メーリングリスト
イベント
ユーザー会
etc...
お問合せ
ご支援・ご協力
日本 Samba ユーザ会 (Samba Users Group Japan)

オリジナル版 Samba 2.2.8の脆弱性の修正と日本語版での影響について

 2003/04/07に Samba Team より Security Fix として Samba 2.2.8a のリリースがアナウンスされました。

 これは現在提供されている Sambaのすべてのバージョンに致命的な脆弱性が存在し、匿名ユーザがroot権限を得ることが可能となる恐れがあることに対応するものです。 したがって、オリジナル版 Samba 2.2.8以前の全てのバージョンについては、至急バージョンアップをするか、パッチを適用する必要があります

 日本Sambaユーザ会がリリースを行っている Samba日本語版についても、この脆弱性が存在するため、現在詳細について調査を行い、セキュリティ対策パッチと新バージョンのリリースを準備中です。(注:この対応を行った Samba 日本語版 2.2.7b-1.0 がこのアナウンスと同日の2003/4/9にリリース されています)

 なお、オリジナル版Sambaのセキュリティパッチは、Samba日本語版にはそのまま適用できませんのでご注意願います。

対象プロダクト

  • オリジナル版 Samba 2.2.8以前の全てのバージョン
  • Samba日本語版の全てのバージョン(注:同日リリースされたSamba 日本語版 2.2.7b-1.0以降は影響を受けません)

脆弱性の詳細について

 call_trans2open() 及び stat_cache_add() での StrnCpy() の使い方に問題があり、細工された namelen 変数を適切にチェックせずに StrnCpy() 関数に渡すことに起因した、バッファオーバーフローの問題が存在します。 攻撃者にこのセキュリティホールを利用された場合、リモートから任意のコードを実行される可能性があります。 (2003/4/18 説明の誤りの指摘 を受け、修正しました)
 この問題は Erik Parker 氏および Digital Defense, Inc. チームにより報告されました。

対処策

オリジナル版Sambaの場合
Samba 2.2.8a へアップグレードを行うか、パッチを適用してください。
Samba 2.2.8a はこちらなど より取得可能です。
各パッチは こちらなど からより取得可能です。

Samba日本語版の場合
対策パッチと新バージョンを近日中にリリースする予定ですので、もうしばらくお待ちください。 (注:この対応を行った Samba 日本語版 2.2.7b-1.0 が同日リリース されています)

パッチが適用できない場合の一時的な対応策
Samba が使用するポート 139/TCP , 445/TCP をルータやファイアウォールなどで適切にフィルタリングを設定してください。 詳細については「パッチを適用しない Samba サーバを防御する」 などを参照願います。


ミラーサイト: [ WWW: master ] [ FTP: ring | kddilabs | plathome | mex | master ]

Copyright © 1999-2018 日本 Samba ユーザー会 (Samba-JP)
2011-12-19 01:17:48 JST 更新