[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
News/2003/20031202 (1.8)
http://www.debian.org/News/2003/20031202
rev 1.8
# hardened が訳せていません
--
victory
http://debian.rsz.jp/
don't include my addresses in mail body...
----------------------------------------------------------------
#use wml::debian::translation-check translation="1.8"
<define-tag pagetitle>Debian サーバ侵入の調査報告</define-tag>
<define-tag release_date>2003-12-02</define-tag>
#use wml::debian::news
<p>Debian 管理チームとセキュリティエキスパートは、ようやくプロジェクトマシン
四台への不法侵入に使用された方法を突き止めることができました。
しかし、誰がこれを行ったのかはまだわかっていません。</p>
<h3>パッケージアーカイブが侵入者によって変更されることはありませんでした。</h3>
<p>Debian の管理、セキュリティチームは調査と再インストールを行う過程の、
かなり早い段階でこれらのアーカイブ (security, us, non-us)
をチェックしました。そんなわけで、
プロジェクトは再びセキュリティアーカイブを調査し、安定版の更新 (3.0r2)
が汚染されなかったことを確認することができました。</p>
<p>安定版の更新と同時に侵入されることをプロジェクトが予測していれば、
関係者はそれを延期したでしょう。しかし、更新されたパッケージは、
不法侵入が発見された時間には既に安定版アーカイブとミラーサーバに入っていたので、
それを取り消すことはもうできませんでした。</p>
<p>異なる制御データを基にして複数の方法によりパッケージを確認しました。
するためとアーカイブが攻撃者によって変更されなかったことを保証します:</p>
<ul>
<li>外部の侵入されていないマシンに保存された、過去数週間の MD5 sum
のリスト</li>
<li>外部の侵入されていないマシンの debian-devel-changes
のデジタル署名された .changes ファイル</li>
<li>それぞれのアーカイブサーバ上のデジタル署名された .changes ファイル</li>
<li>外部に保存されたミラーログファイル</li>
</ul>
<h3>時系列</h3>
<p>以下は、侵入されたマシンの発見、復旧を時系列で挙げたものです。
時刻はすべて UTC です。会話には正確な時間は入らないので、
時刻は推定でしかないものがあります。</p>
<ul class="discless">
<li>09/28 01:33 Linus Torvalds が do_brk() を修正した 2.6.0-test6
をリリース</li>
<li>10/02 05:18 Marcelo Tosatti が do_brk() 境界チェックを適用</li>
<li>11/19 17:00 探り出したパスワードで攻撃者が klecker にログイン</li>
<li>11/19 17:08 ルートキットが klecker にインストールされる</li>
<li>11/19 17:20 同じパスワードで攻撃者が master にログイン</li>
<li>11/19 17:47 ルートキットが master にインストールされる</li>
<li>11/19 18:30 攻撃者が master からサービスアカウントを使って
murphy にログイン</li>
<li>11/19 18:35 ルートキットが murphy にインストールされる</li>
<li>11/19 19:25 murphy で Oopses が始動</li>
<li>11/20 05:38 master で Oopses が始動</li>
<li>11/20 20:00 master と murphy で Oopses を発見</li>
<li>11/20 20:54 ルートキットが gluck にインストールされる</li>
<li>11/20 22:00 debian.org への侵入を確認</li>
<li>11/21 00:00 全アカウント停止</li>
<li>11/21 00:34 security.debian.org をシャットダウン</li>
<li>11/21 04:00 gluck (www, cvs, people, ddtp) をシャットダウン</li>
<li>11/21 08:30 www.debian.org が www.de.debian.org を指すように設定</li>
<li>11/21 10:45 公示</li>
<li>11/21 16:47 開発者情報更新</li>
<li>11/21 17:10 murphy (lists) と master をシャットダウン</li>
<li>11/22 02:41 security.debian.org がオンライン復旧</li>
<li>11/25 07:40 lists.debian.org がオンライン復旧</li>
<li>11/28 22:39 Linux 2.4.23 リリース</li>
</ul>
<h3>発見</h3>
<p>11 月 20 日、木曜日の夕方 (GMT)、管理チームはカーネル oopses
が master にいくつかあることに気付きました。
そのシステムは長期にわたり問題なく動作していたので、
システムは、ハードウェア問題の可能性について、
より詳細に調査しようとしていました。
しかし、同時に二台目のマシン、murphy
で全く同じ問題が発生していたことで管理者たちは不審に思いました。</p>
<p>また、klecker, murphy 及び gluck に "Advanced Intrusion Detection
Environment" (パッケージ <a href="http://packages.debian.org/aide";>aide</a>)
をインストールしてファイルシステムの変更を監視するとほぼ同時に
<code>/sbin/init</code> が置き換えられていると警告が始まり、
<code>/usr/lib/locale/en_US</code> の変更時刻と作成時刻が変わっていました。</p>
<p>さらなる調査によりこれらの問題の原因が両方とも SucKIT root-kit (1.3b)
であることが明らかになりました。これには、パスワードを探ったり、
検出を回避する機能 (つまりプロセスやファイルを隠すツール) があり、
これがカーネルに直接インストールされました。そのことが oopses
に気付かせることになりました。</p>
<h3>詳細な攻撃分析</h3>
<p>11 月 19 日、水曜日、午後五時頃、探り出したパスワードを使用してホスト
klecker (.debian.org) 上の特権がない開発者アカウントにログイン。
攻撃者はそれから HTTP を通してソースコードを取得し、(当時は)
未知であったローカルに対するカーネルの弱点を突き、そこから root
権限を獲得しました。その後、SucKIT root-kit がインストールされました。</p>
<p>同じアカウントとパスワードデータが、マシン master へのログイン、
同じ弱点をついた攻撃、SucKIT root-kit のインストールに使用されました。</p>
<p>攻撃者はそれから、同じアカウントでホスト murphy の権限を得ようとしました。
これは murphy が制限されたマシンであったことから失敗しました。
このマシンは目的がメーリングリストのサーバだけで、
一部の開発者しかログインできなかったのです。
最初の試行がうまくいかなかったので、master の root
権限を使って、バックアップ目的で使用される管理アカウントの権限を獲得、
murphy の権限も獲得しました。</p>
<p>翌日、攻撃者は master で探り出したパスワードを使用して gluck にログイン、
root を獲得して、さらに SucKIT root-kit をインストールしました。</p>
<p>分析の結果、<code>/sbin/init</code> プログラムの上書きとルートキット
のインストールが行われた日時、時刻が明らかになりました。
アナリストはさらに、マシン上で root
権限を得るのに使用された実行ファイルを発見しました。これは
Burneye により保護され、暗黒化されていました。
セキュリティエキスパートは、弱点を細かく調べ、
どのカーネルバグが利用されたかを突き止めました。</p>
<p>brk システムコールにおける整数オーバフローが、カーネルメモリ
(ページ変更保護ビット) の上書きに利用されました。
そうすることで、攻撃者はカーネルのメモリ空間を制御を掌握し、
メモリのどの値でも変更することが可能になりました。</p>
<p>このカーネルコードは九月に Andrew Morton
により改善され、十月以降のリリース前カーネルにコピーされたのですが、
この改良がセキュリティとして考慮されることはありませんでした。
なので、セキュリティ報告はどのベンダからも出されませんでした。
しかし、それがローカル root 不正使用に使われることが発見されると、
Common Vulnerabilities and Exposures project プロジェクトは
CAN-2003-0961 をこの問題に割り当てました。これは先週リリースされた
Linux 2.4.23 で修正されています。Debian の勧告は <a
href="$(HOME)/security/2003/dsa-403">DSA 403</a> です。</p>
<p>Linux 2.2.x
ではこの前に境界チェックが行われるので、この弱点はありません。Sparc や
PA-RISC のアーキテクチャではユーザとカーネルのアドレスが異なるアドレス
空間にあるため、それらカーネルにはこの弱点は無いものとも思われます。</p>
<p>使用された弱点を私たちが知らない誰にでも知らせるということはできない、
いうことをわかってください。そして、それを聞かないでください。</p>
<h3>復旧</h3>
<p>マシンのシャットダウン後に侵入されたハードディスクのイメージが作成され、
別個のマシン上に保存されました。それらは分析をしている人に分配されました。
米国にある三台のマシン (master, murphy, gluck) はその後再インストールされ、
サービスは調査の後に適切なサービス管理者により一つずつ復旧されました。</p>
<p>しかし、klecker では、定期保守のためにこれは延期されたので、
セキュリティアーカイブは他のサービスよりも早くオンラインにすることができました。
その時、klecker に対してコンソールアクセスもできなかったので、
復旧はリモートから行う必要がありました。ファイアフォールで分離された
ネットワーク上でシリアル経由でローカルマシンにコンソールログインし、
ディスクイメージの作成後にルートキットの削除、カーネルの交換、hardened 、
バイナリの再確認、
複数の異なる外部ソースによるセキュリティアーカイブの確認が行われました。
このマシンは次の数週で再インストールされます。</p>
<p>セキュリティの防止策として、全開発者アカウントの LDAP
の無効化、さらに重要なマシンからの SSH 鍵の削除が行われたので、
これ以上マシンに侵入することができなくなりました。しかし、これは事実上、
ファイルのアップロードや CVS リポジトリへのアクセスを伴う公開型の
Debian の作業をすべてできなくすることになりました。</p>
<p>quantz (つまり Alioth, arch 及び subversion)
で使用されていたパスワードもすべて同様に無効にされました。
SSH authorized keys もすべて同様に削除されました。
lost password system を使用して新しいパスワードを<a
href="https://alioth.debian.org/account/lostpw.php";>受け取って</a>ください。</p>
<p>サービスがすべて再始動すると、マシンは十分に安全になり、LDAP
はリセットされます。開発者は新しいパスワードを再び<a
href="http://db.debian.org/password.html";>作成</a>することができます。
これがいつ起こるものなのかは現在予測することができませんが。</p>
<p>復旧において、SSH は侵入されたマシンに再インストールされました。
そのため、これらのホストでは RSA host keys
及びそのフィンガープリントが新しくなっています。鍵は、作成されると同時に
LDAP に含められます。また、<a href="http://db.debian.org/machines.cgi";
>ここ</a>から取得することができます。</p>
<h3>結論</h3>
<p><strong>パスワードを更新してください!</strong></p>
<p>侵入されたホストにおいてパスワードが探り出されたということは、
パスワードが関係する発信接続についてもすべて探り出されたと考えられる、
つまり、パスワードは攻撃者に知られていると考えるべきです。
したがって、パスワードはすぐに変更すべきです。</p>
<p>さらに、Debian マシンにアクセス可能で、
他のマシンや鍵に同じパスワードやパスフレーズを使っている場合は、
それぞれのパスワードやパスフレーズをできるだけ早く変更することを強く勧めます。</p>
<p>これらのマシンのどれかで SSH 鍵を生成または保存していて、
他のマシンへのログインに使われている
(つまり、<code>.ssh/authorized_keys</code> にインストールしている)
場合は、それも同様に削除すべきです。</p>
<p>debian.org のマシンにあった GnuPG/PGP の秘密鍵は Debian
キーリングから除去、使用停止されます。</p>
<p>自分のマシンについて心配する開発者は少なくとも chkrootkit
を実行し、その出力を確認すべきです。Matt Taggart
が、以下のアドレスで現行バージョンの woody へのバックポートを保守しています:</p>
<ul class="discless">
<li>deb http://lackof.org/taggart/debian woody/chkrootkit main
<li>deb-src http://lackof.org/taggart/debian woody/chkrootkit main
</ul>
<p>さらに、Wichert Akkerman と Matt Taggart により、<a
href="http://www.wiggy.net/debian/developer-securing/";>問題予防措置</a>
の詳細なリストが提供されています。</p>
<h3>SucKIT Root-Kit</h3>
<p>SucKIT は Phrack 58 号の記事 0x07
("Linux on-the-fly kernel patching without LKM", by sd & devik).
で公開されているルートキットです。これは、/dev/kmem
を通してロードされる完全に機能するルートキット、つまり、
カーネルがカーネルモジュールのロードに対応している必要がありません。
これは偽装されたパケット
(ほとんどのファイアウォール設定を迂回する)によって開始された再接続シェルへの、
パスワード保護されたリモートアクセスを提供し、
プロセスやファイル、接続を隠蔽することができます。</p>
<p>通常、SucKIT はシステム起動時に /sbin/init として開始され、
フォークして自分自身をカーネルにインストールし、バックドアを起動して、
元の "init" バイナリのコピーを親プロセス (pid 1) から開始させます。
以降の <code>/sbin/init</code> の実行は元の init
にリダイレクトされます。</p>
<h3>TESO's Burneye 防護</h3>
<p>Burneye は、Phrack 58 号の記事 0x05 ("Armouring the ELF:
Binary encryption on the UNIX platform", by grugq & scut)
で公開されている、UNIX プラットフォーム上の ELF バイナリを暗黒化する方法です。
TESO's Burneye のようなツールを使って攻撃者は実行可能プログラムを変更し、
その真の目的を隠し、ファイアウォールフィルタ、侵入検出システム、
アンチウィルスソフトウェア、及び調査者の詮索から逃れます。</p>
<h3>謝辞</h3>
<ul>
<li> James Troup と Ryan Murray は全ホストに対する全体的な作業に</li>
<li> Adam Heath と Brian Wolfe は master 及び murphy に対する作業に</li>
<li> Wichert Akkerman は klecker に対する作業に</li>
<li> Dann Frazier と Matt Taggart は gluck に対する作業に</li>
<li> Michael Stone と Robert van der Meulen は分析作業に</li>
<li> Marcus Meissner は使用された弱点の調査に</li>
<li> Jaakko Niemi は lists.debian.org の確認、復旧に</li>
<li> Colin Watson は bugs.debian.org の確認、復旧に</li>
<li> Josip Rodin はメーリングリストのウェブアーカイブの確認、復旧に</li>
</ul>
<h3>報道の反応</h3>
<ul>
<li><a href="http://slashdot.org/articles/03/11/21/1314238.shtml";>Slashdot</a>, Nov 21, 2003
<li><a href="http://www.eweek.com/print_article/0,3048,a=113091,00.asp";>eWeek</a>, Nov 21, 2003
<li><a href="http://www.internetnews.com/dev-news/article.php/3112551";>InternetNews</a>, Nov 21, 2003
<li><a href="http://www.heise.de/newsticker/data/odi-21.11.03-001/";>Heise Newsticker</a>, Nov 21, 2003 (German)
<li><a href="http://www.pro-linux.de/news/2003/6205.html";>Pro-Linux</a>, Nov 21, 2003 (German)
<li><a href="http://www.linux-community.de/Neues/story?storyid=10821";>Linux-Community</a>, Nov 21, 2003 (German)
<li><a href="http://barrapunto.com/articles/03/11/21/1527220.shtml";>BarraPunti</a>, Nov 21, 2003 (Spanish)
<li><a href="http://www.newsforge.com/article.pl?sid=03/11/21/1319258";>Newsforge</a>, Nov 21, 2003
<li><a href="http://searchenterpriselinux.techtarget.com/originalContent/0,289142,sid39_gci938279,00.html";>SearchEnterpriseLinux.com</a>, Nov 22, 2003
<li><a href="http://www.debianplanet.org/node.php?id=1011";>Debian Planet</a>, Nov 22, 2003
<li><a href="http://www.pcworld.com/news/article/0,aid,113636,00.asp";>PC World</a>, Nov 24, 2003
<li><a href="http://news.zdnet.co.uk/internet/security/0,39020375,39118062,00.htm";>ZDNet UK</a>, Nov 24, 2003
<li><a href="http://www.enterprise-linux-it.com/perl/story/22748.html";>Enterprise Linux IT</a>, Nov 24, 2003
<li><a href="http://www.theage.com.au/articles/2003/11/24/1069522516071.html";>The Age</a>, Nov 24, 2003
<li><a href="http://www.smh.com.au/articles/2003/11/24/1069522516071.html";>Sydney Morning Herald</a>, Nov 24, 2003
<li><a href="http://www.windowsitpro.com/windowspaulthurrott/Article/ArticleID/40957/windowspaulthurrott_40957.html";>Windows & .NET Magazine</a>, Nov 24, 2003
<li><a href="http://www.infoworld.com/article/03/11/24/HNdebianhacked_1.html";>Infoworld</a>, Nov 24, 2003
<li><a href="http://www.linuxinsider.com/perl/story/32240.html";>Linux Insider</a>, Nov 24, 2003
<li><a href="http://www.ecommercetimes.com/perl/story/32240.html";>eCommerce Times</a>, Nov 24, 2003
<li><a href="http://www.technewsworld.com/perl/story/32240.html";>TechNewsWorld</a>, Nov 24, 2003
<li><a href="http://www.theregister.co.uk/2003/11/24/check_your_sums_debian_advises/";>The Register</a>, Nov 28, 2003
<li><a href="http://newsvac.newsforge.com/article.pl?sid=03/11/28/1545237";>Newsforge</a>, Nov 28, 2003
<li><a href="http://slashdot.org/articles/03/11/28/050232.shtml";>Slashdot</a>, Nov 28, 2003
<li><a href="http://developers.slashdot.org/developers/03/12/01/2133249.shtml";>Slashdot</a>, Dec 1, 2003
<li><a href="http://www.theage.com.au/articles/2003/11/24/1069522516071.html";>The Age</a>, Dec 1, 2003
<li><a href="http://www.smh.com.au/articles/2003/12/01/1070127318372.html";>Sydney Morning Herald</a>, Dec 1, 2003
<li><a href="http://www.pro-linux.de/news/2003/6240.html";>Pro-Linux</a>, Dec 2, 2003 (German)
<li><a href="http://www.heise.de/newsticker/data/jk-02.12.03-000/";>Heise Newsticker</a>, Dec 2, 2003 (German)
<li><a href="http://www.golem.de/0312/28747.html";>Golem</a>, Dec 2, 2003 (German)
<li><a href="http://lwn.net/Articles/60948/";>LWN</a>, Dec 2, 2003
<li><a href="http://www.theregister.co.uk/2003/12/02/hackers_used_unpatched_server/";>The Register</a>, Dec 2, 2003
<li><a href="http://www.zdnet.de/news/security/0,39023046,39117906,00.htm";>ZDnet DE</a>, Dec 2, 2003 (German)
<li><a href="http://www.linux-community.de/Neues/story?storyid=11004";>Linux-Community</a>, Dec 2, 2003 (German)
<li><a href="http://www.heise.de/security/artikel/42546";>Heise</a>, Dec 2, 2003 (German)
<li><a href="http://www.heise.de/newsticker/data/anw-02.12.03-005/";>Heise Newsticker</a>, Dec 2, 2003 (German)
<li><a href="http://www.symlink.ch/articles/03/12/02/1820248.shtml";>Symlink</a>, Dec 2, 2003
<li><a href="http://www.pro-linux.de/news/2003/6245.html";>Pro-Linux</a>, Dec 3, 2003 (German)
<li><a href="http://www.heise.de/newsticker/data/ju-04.12.03-000/";>Heise Newsticker</a>, Dec 4, 2003 (German)
<li><a href="http://www.symlink.ch/articles/03/12/04/0123247.shtml";>Symlink</a>, Dec 4, 2003 (German)
<li><a href="http://www.internetnews.com/dev-news/article.php/3116231";>Symlink</a>, Dec 4, 2003
<li><a href="http://newsvac.newsforge.com/article.pl?sid=03/12/04/1448206";>Newsforge</a>, Dec 4, 2003
<li><a href="http://newsvac.newsforge.com/article.pl?sid=03/12/05/1635231";>Newsforge</a>, Dec 5, 2003
<li><a href="http://www.osnews.com/comment.php?news_id=5362";>OSnews</a>, Dec 10, 2003
<li><a href="http://news.com.com/2100-7344-5117271.html";>Cnet</a>, Dec 10, 2003
<li><a href="http://newsvac.newsforge.com/article.pl?sid=03/12/30/1435210";>Newsforge</a>, Dec 30, 2003
</ul>
<h2>連絡先</h2>
<p>より詳しい情報を希望する場合は、Debian のウェブページ
<a href="$(HOME)/">http://www.debian.org/</a> を参照するか、
<email press@debian.org /> にメールを送ってください。</p>
----------------------------------------------------------------