[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[Translated]security/2000/20001118a
野上です。
予約してからだいぶたちましたが、セキュリティの残りの訳、その３です。
a sanity checkって、念のため、なんでしょうか？
直訳してしまいましたが。
--------------------------------------------------------------
野上大介＠東京大学教養学部広域科学科＋情報基盤センター相談員
me@xxxxxxxx / dnogami@debian.or.jp
PGP FingerPrint:67E9 2325 98DB 1328 9569 8127 F119 CA0D FDD1 E911
---security/2000/20001118a.wml-----
<define-tag moreinfo> Debian GNU/Linux 2.2 に含まれている、このバージョンの Vixie Cron には、 Michal Zalewski さんによって発見されたローカルからの攻撃に対する脆弱性があります。これは、テンポラリファイルがセキュアでないパーミッションであることや、テンポラリファイルの削除時の競合条件に関するいくつかの問題が、サービス拒否攻撃( crontabs の編集を妨げる)から特権の取得(他のユーザーが crontab を編集できる)までの攻撃を可能にするからです。
<p>一時的な問題の修正として、 "chmod go-rx /var/spool/cron/crontabs" を行うことで、現在可能なこの問題の利用を防ぐことが出来ます。しかし、これだけでは問題の解決にはなりません。 Debian 2.2 や 3.0pl1-61 (不安定版)に含まれている、バージョン 3.0pl1-57.1 へのアップグレードをお勧めします。
<p>また、新しい cron のパッケージには、 crontab に特別なファイル(デバイスや named pipe など)を名前で指定することが出来なくなります。注意していただきたいのは、この修正はセキュリティ問題の修正ではなく、穏当なチェックであると言うことです。
<p>注 : Debian GNU/Linux 2.1 はこの攻撃に対して脆弱です。 Debian GNU/Linux 2.2 (potato) へのアップグレードをお勧めします。
</define-tag>
<define-tag description>ローカルからの特権取得</define-tag>
#use wml::debian::translation-check translation="1.4"
# do not modify the following line
#include '$(ENGLISHDIR)/security/2000/20001118a.data'