IEのGopher処理にバッファオーバーフロー脆弱性 27
ストーリー by yourCat
久しぶりにGopherの名を聞いた 部門より
久しぶりにGopherの名を聞いた 部門より
k3c曰く、 "BugTraqへの投稿によれば、IEにおいてGopherサーバからの応答を処理する部分にバッファオーバーフローの脆弱性があり、ファイルの読み書き削除、プログラムのアップロードや実行、何でもできてしまうとのこと。IE5.5や6を含む複数のバージョンで脆弱性があることを確認しているそうだ。対策としてはGopherプロキシサーバーに無効なサーバーとポート (投稿ではlocalhostのポート1が推奨されている) を設定する。マイクロソフトには5月20日に通報済みだがパッチはまだない。報告者のOnlne Solutionsではテスト用にGopherサーバへのリンクを掲示しているので不安なヒトは試してみると良いかも。"
え~っとつまり.... (スコア:1)
いけないことですが (スコア:1)
また出たかぁと何とも思わなくなってしまいました。
M$の作戦?
AMIGA4000T(60/50)使い
もしかして「おさぼり」さん? (スコア:1, 興味深い)
ここの記事 [impress.co.jp]によると、
> セキュリティーホールそのものは「伝統的、自明」なもの
だそうで、利用頻度がめっぽう少なくなったなんて単純な理由で、メンテナンスを忘れていた、もしくは開発のプライオリティが最低ランクに、というのは邪推でしょうか?
仮にそうだとしたら、「面倒みる気がないんだったら、余分な機能はつけるなよ~」とか言ってみたいですね。
実は… (スコア:1)
その機能、Spygrass からMosaicのソース買い取った頃からメンテしてなかったんです(笑)
MS02-027 (スコア:1)
パッチはまだ公開されていませんが、Microsoft ISA Server 2000とMicrosoft Proxy Server 2.0も同じ脆弱性を持つことと、それぞれの回避策が提示されています。
Re:MS02-027 (スコア:1)
今日だと (スコア:0)
Re:今日だと (スコア:2, 興味深い)
テキストベースなネット環境だったころはよく使いました。
#余談ですがGopherとはGo farを意味するとか(笑)
今じゃあんまり「遠く」には行けそうにないですが。
ちなみに知らない人のために説明しておくと
Gopherとは'91年ミネソタ大学で開発されたもので、情報はツリー構造のメニューに分類してあるような構造のシステムです。
今は一般的でないにせよ、多分特定分野ではまだ使われているんだろうなぁ。(ちなみに数年前のWeather undergroundの専用クライアントは実はGopherクライアントでした)
Re:今日だと (スコア:2, 興味深い)
NT4 Serverで、IISを起動すると自動的にGopherも起動しちゃうんですよ。Ftpとかもね。
手動で停止掛けるんだけど、知らぬ間にゾンビのように復活してきます。
#2kとかXPではどうか知りませんが。
そういう訳で、知らぬ間にGopher Serverを立ててる所は多いんじゃないかと。
Re:今日だと (スコア:1)
設定を自動で起動にして、わざわざ手動で停止させているということでしょうか???
Re:今日だと (スコア:1)
そうじゃなくて、パッチとかインストールしてるといつのまにか自動起動になってる、 ってことじゃないでしょうか(よくあることです)。
Re:今日だと (スコア:1)
Proxyのサービスだけ使いたいと思っても、IISのWeb, Gopher, Ftpが全部起動してしまいます。
#Proxyだけ使いたいと思っても、Web止めるとProxyまで止まっちゃうし。
Re:今日だと (スコア:1)
少なくともウチのイントラサーバの IIS には Gopher のサービスは入れてないので、パッチ当てようが何しようが、Gopher のたちあがりようがないです。
Re:今日だと (スコア:1)
IISが動いていたマシンの管理を、私が直接やってたわけじゃないので、標準インストール状態以外のことは試したことないんです。
#管理してた人は、そういうこと(余分なサービスが勝手に走り回ってること)を全然気にしてなかったし。
そんなにわか管理者向けに… (スコア:1)
ちなみに、私は手許にIISを動かせる環境がないので、試してません。もしこれでダメなら、既存のIISのgopher止めるには、手でサービス止めるしかないんでしょうね。
Re:そんなにわか管理者向けに… (スコア:1)
いやだから、手で止めてるのに、いつの間にか復活してしまうんで (^^;;;;;
なので、これで設定しても、勝手に設定が自動起動に戻るんじゃ?
Re:今日だと (スコア:0)
そうなの?初めて聞いた。
Re:今日だと (スコア:1)
文字通りだと、ジネズミ(地面に穴を掘って棲むネズミ)という意味になります。なんで、当時は「ジネズミの巣のようにあちらこちらにつながってる」イメージなんだと思ってました
# Web(クモの巣)がネットワークモデルの視覚的なイメージなのに対して、こっちは機能的なイメージなのかな、と。
Re:今日だと (スコア:1)
Re:今日だと (スコア:1, 興味深い)
1994年頃、タイ大学のGopher serverからいっこfileを転送するのに数時間掛かったりしたことを懐かしく思い出します。
http普及前夜anonymous ftp全盛の頃、大変新鮮なものでした。
懐旧ついでに調べてみたら、現在gopher+の最新versionが3.0.5ですか。まだメンテナンスが続けられているのですね。
Re:今日だと (スコア:0)
Re:今日だと (スコア:1)
# なんか虫垂炎になった気分。
Re:今日だと (スコア:0)
Re:今日だと (スコア:1)
Re:今日だと (スコア:0)
Re:今日だと (スコア:0)