vine-users ML アーカイブ



[vine-users:051775] Re: セキュリティ関連の話 3 件 & その他

  • From: Masa Takahashi <masa@xxxxxxxxxxxxxxxxxxx>
  • Subject: [vine-users:051775] Re: セキュリティ関連の話 3 件 & その他
  • Date: Sun, 30 Jun 2002 14:59:13 +0900
こんにちわ、政です。
早速の御回答ありがとうございます。 本業の方が忙しくて
なかなかmail出来なくて申し訳ありません。


Daisuke SUZUKI wrote:
> 
> 鈴木です。
> security@xxxxxxxxxxxxx にもふります。
> 
> On Sun, 23 Jun 2002 16:15:13 +0900
> Masa Takahashi <masa@xxxxxxxxxxxxxxxxxxx> wrote:
> 
> > 一つ目
> > Vine2.5がリリースされた今となってはユーザ数も少ないのかも
> > 知れませんが、Vine2.1.5以前に含まれているNetscapeに
> > cookie漏洩のセキュリティ上の問題点があると日経BP社の
> > 日経Linuxのセキュリティ関連のホームページに記載がありまし
> > たが、この件、対応していただけないでしょうか? > Projectの
> > 皆様
> 
> ここに書いてあるのは
> 
> Cookie Vulnerability
> 
> A flaw that could potentially allow a malicious web site to
> read the cookies that another site has stored on a user's
> computer has been discovered in Netscape 6 through 6.2
> versions of the Netscape browser . There are no known
> instances of this flaw being exploited. This issue does not
> affect users of Netscape 6.2.1, which is now available for
> download, nor does it effect users of Netscape Communicator
> 4.x versions. We encourage those using Netscape versions 6
> through 6.2 to upgrade to the recently released Netscape
> 6.2.1.
> 
> これのことだとおもうのですが、netscape 4 には影響ないと
> 書いてありますね。ほかにもありましたっけ?

他のサイト(ZDNET等)でも見たような気がしたので投稿したのですが、後から検
索
してみたら無かったので、私の勘違いだったのかも知れません。 お騒がせして
申し訳ありませんでした。


> > 二つ目
> > 上記の件と同じホームページにVine2.5に含まれているバージョ
> > ンNo.のMozillaにはローカルファイルを読み出されてしまうとい
> > う問題点が記載されてましたが、この件は対策済でしょうか >
> > Projectの皆様
> 
> 今 VineSeed でテストしている Mozilla では問題ないですが、まだ直す
> 部分がいくらか有るので保留されています。

期待させていただきます。


> > 三つ目
> > 既に対策済なのかも知れませんが、
> > http://kerneltrap.org/index.php?or=10
> > という所の下の方にOpenSSHの問題点(BufferOverflow?)らしき
> > 物が掲載されていましたので念の為、御報告いたします。
> 
> これは AFS/Kerberos 認証のバグなので、Vine Linux の OpenSSH では
> 影響しませんね。
> # いちおう Openssh-3.3p1 は作ってはいますが。

そういう事だったのですね、よく判らないまま心配して念の為投稿させていただ
きました。
.....と言っているうちに、又セキュリティホールが見つかったのですね.....
#Vine2.1.5用は用意していただけるのかな?


> > その他
> > apt-getでVine2.1.5にkernelの0vl0.24のsrc.rpmを入れ
> > mkkpkgを使い再構築、ところが途中でerror、そこで手作業で
> > /usr/src/linux以下で設定をしていて気付いたのですが、
> > 0vl0.23よりも設定項目が少なくなっているような気がするので
> > すが気のせいでしょうか?(確か0vl0.23にはext3の設定があった
> > ような気がするのですが、0vl0.24には無くなっているような)
> 
> これはよく見てないのでわかりませんが、安定性重視のため
> 多少の増えたり減ったりはあります。
> ext3 については、0vl0.24 でも、
> tristate 'Second extended fs development code' CONFIG_EXT3_FS
> にあります。
> # ちなみに Vine Linux 2.1.5 ではext3fs は公式には未サポートです。

Vine2.1.5でext3fsが非公式サポートなのは覚悟の上で利用させていただいてお
りました。
不思議なのは私の環境では/usr/src/linuxでmake menuconfigやmake xconfigを
実行した時にはext3fsの設定項目が表示されないのにmkkpkgでやると表示される
んですよね
kernel-source*.i386.rpmとkernel*src.rpmでは内容が違うのですか?
(make configを実行したりソースを直接見たりはしていません)


> > BIOSをupdateしたらX上でAPMがうまく動かなくなったのですが
> > これの対応を御願いするのは酷ですよね、XFree86v4.xでは問題
> > が無いので............
> 
> これはなんとも言えないですね。対応といっても星の数程有る
> BIOSに対応はできませんし。APM は基本的には BIOS で幾どを
> やってしまうので、旨く動かないときはBIOS がわるいという場合が
> 多いですし。

これは"対応してもらえればありがたいなあ"ぐらいの軽い気持で書いたので、あ
まり御気に
なさらずに.....BIOSの不具合という可能性は高いのですよね、古いBIOSの時は
問題なく
動いておりましたから.....しかし、それが即BIOSの不具合とも言い切れない部
分もあって
上にも書いてます通りXFree86のV4.x系では問題なく動作しますので、あまり使
いたくない
言葉ですが、相性なのかなあ 等と思ってしまいます。
(素のVine2.1.5にソースからXの4.x系を入れたらAPMが動いたという事も)


> > Vine2.5は私の使い方に問題があるのかも知れませんが、不可解
> > な動作が多い様に思えるので当面はvine2.1.5を使い続けるつも
> > りでいます。
> 
> 不可解な動作をレポートいただければ、バグであれば直せるかもしれ
> ませんが、ただ不可解というだけですと何ともしようがありません。。

何回かインストールした後、使用していなかったので私の感じていた部分は
解決済かも知れませんが、可能ならインストーラを改良していただきたいと
思います。かなり高確立で異常終了しますので.....
また、過去のversionのインストーラに見られたのですがカスタムインストール
で
フルインストールすると問題ないのですが、最初からフルインストールを選択す
ると
liloの設定画面をスキップしたり、グラフィカルインストールをするとインスト
ール
作業中にhost名の設定画面が無い等がありました。


> > VineのホームページやML等ではVine2.5のマイナーUPが、ありそ
> > うな事が書かれていますが、それを待ちたいと思います。
> 
> Web には書いてありませんが、そのうちマイナーバージョンアップというか
> Updated CDIMAGE をだすかもしれません。ただ、時期や内容については
> 一切未定です。

VineLinuxのロードマップのホームページに下記の様な記述があります。

( 2.5.1 はまだ未定です。2.5+updates として提供するかもしれません ) 

この記述があったのでマイナーがある可能性があるのかな?と私は勝手に思い込
んで
おりましたが.....

> > Vine2.5には沢山のメリットがあるとは感じておりますが、私の
> > 様なおっちょこちょいにはVine2.5を使い続けるのは困難と思わ
> > れますのでもう少し待ちたいと思っております。
> 
> 具体的にどこがマズイかお教え頂けないと、既知のバグ以外に付いては
> 次のバージョンアップでもかわっていないと思います。

上にも書きました通りマイナーが出る可能性があるのかなと思っておりましたの
で
それが出ても、不可解な点に関してはレポートさせていただこうかと考えて
おりました、上にも書いた通りインストール後、使用していなかったので不具合
等に
関しては、もう少し使用した上で報告させていただきたいと思います。

多少キツイ表現もあったかもしれませんが、イヤミ等ではありませんので御気を
悪くなさらずに......

今後も良い製品のリリースお祈りしております、又、感謝もしております。
#ところでapt-get dist-upgradeって使用出来るようになったのですか?