パスワードを忘れた？ アカウント作成
Close
4563 story

PCを乗っ取る悪魔の歌声 52

ストーリー by yourCat
セイレーンの誘い 部門より

KAMUI曰く、 "ZDnet Japanの記事とPC Webの記事に依ると、全てのWindows XPとWinampに係わるセキュリティホールに関する警告が出た。
Win XPについては、MP3やWMAをエクスプローラーから再生する場合に、ファイルの属性情報にバッファオーバーフローを起こす不正なデータを仕込んで任意コードを実行できる危険性があり、最高レベルの「緊急」に設定されている (MS02-072)。Window Updateでパッチ配布が始まったが、今回の問題が厄介なのは「危険なファイル」へのアクセス方法が多すぎる点。「リンクが張られたWebページを開く」「リンクが張られたHTMLメールを開く(プレビュー含む)」「ファイルが入ったフォルダを開く」「ファイルのアイコンにマウスポインタを置く」など、実際にそのファイルを選択しなくても攻撃が可能だという。このため問題のあるファイルをDELコマンドで削除しなくてはならず、昨今のユーザーには「面倒と思われる」かも。
Winamp の問題もほぼ同様で、修正版が配布されている。
なお，これらの問題について警告を発したセキュリティ企業 Foundstone は、この問題を利用した著作権者による「ファイル交換ユーザーに対する攻撃」が行われる可能性を示唆している。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

PCを乗っ取る悪魔の歌声 More

  • Winamp 2.xの場合 (スコア:4, 参考になる)

    by deleted user (9994) on 2002年12月20日 7時52分 (#221546) 日記
    最新版の2.81は一見更新されていないように見えますが、インストールし直したら、im_mp3.dllだけタイムスタンプが12/17になっていました。
    nullsoft純正mp3デコーダを使っていない人は関係ないかもしれませんが、念のためアップデートして置いたほうが無難ですね。

    Winamp3.xの方はわかりませんが、2.xの方はMP3のID3v2タグの処理がまずかっただけですので、他の形式のファイルでは影響は無いと思います。（サードパーティ製プラグインに付いては不明）

    ＃それはそうと、ファイル交換はともかく、MP3のストリーム再生でもID3v2タグはそのまま送られてくるんでしょうか？

  • 不要なアクセス (スコア:2, 参考になる)

    by Anonymous Coward on 2002年12月20日 9時47分 (#221576)
    「リンクが張られたWebページを開く」「リンクが張られたHTMLメールを開く(プレビュー含む)」「ファイルが入ったフォルダを開く」「ファイルのアイコンにマウスポインタを置く」など、実際にそのファイルを選択しなくても攻撃が可能だという。
    つまり Windows は、ユーザーの意図としては内容を見ていないはずのファイルであっても、勝手に中身にアクセスしている、ということですね。これは、エクスプローラーで、(実行ファイルの)アイコンの表示したり、オフィスのファイルなら作成者などを表示したり、といったことに使われていますが、これがそもそもの元凶だと思うし、ただでさえ、ディスクへの不要なアクセスの原因となって動作を必要以上に遅くする原因となるので、こういった動作をしないように設定したいと思うのですが、それは可能なんでしょうか。可能ならどうすればいいでしょうか。

    余談になりますが、内容にアクセスしなければ絶対に安全といえるのでしょうか。たとえば、工夫されたファイル名やパーミションによる攻撃ができる可能性はあるでしょうか。(そういや PRN とか CON とかによる攻撃というのがあったなあ)。

    • Re:不要なアクセス (スコア:2, 参考になる)

      by Anonymous Coward on 2002年12月20日 11時14分 (#221628)
      基本的にShellExtensionやハンドラが読みにいって各種情報を表示させたりプロパティーシートの拡張をさせています。なので大半はレジストリを操作して該当ファイルタイプにつけられてるExtensionはずせばOKのはずです。
      そもそもExplorer使うから余計なものを使ってくれるわけで、たいていのファイラならそのような拡張COM使ってないはずです。(ShellのPropertySheet表示させたりしてなければたぶん。)
      工夫されたファイル名といえば私は一番にCONCONが思い浮かぶわけですが、もうすでに懐かしい部類ですねぇ。しかし、アクセスしないということと、ファイルがシステムに存在するということは相反するわけで。。。（作成する際にアクセスされたはず）
      ところでパーミッションによる攻撃っていったい？？？
      シェア
      親コメント
    • ただでさえ、ディスクへの不要なアクセスの原因となって動作を必要以上に遅くする原因となるので、
      そうですよねぇ。 ぼくの場合はそれが Windows を使いたくない一番の原因でした。 でも最近マシンが速いからそのへんの感覚が麻痺してます(笑)。

      Mac みたいに、 ファイルの内容とファイルタイプについての情報を 別々のファイルに入れるようにすれば、 この辺のオーバーヘッドはなくなるのかもしれないですが。 （自分では Mac 使ってないので、詳しくは知りませんけども。）

      --
      use Test::More 'no_plan';
      シェア
      親コメント
      • # 先に断り。俺Mac使ってません

        > Mac みたいに、ファイルの内容とファイルタイプについての
        > 情報を別々のファイルに入れるようにすれば
        を見てちょっと不安になったのだけども。

        Macってアイコンイメージの情報をファイルに埋め込んでおけるのよね。
        んで、当該ファイルがあるフォルダを開いた時って、そのファイルに勝手にアクセスしてアイコンイメージの情報を引き出して、フォルダの中に表示していくわけだよね。

        ここにexploitがあったら死ねないか？
        デスクトップにそういうファイル置かれたら、起動直後デスクトップの表示準備でアイコンイメージ展開をはじめてexploit発動させられて、どうともならなくなるのでは？

        # ま、絵に書いた脆弱性だけどね
        シェア
        親コメント
        • MacOS9までしか知らないのですが、2つであってますよ。
          データフォークの入ったデータファイルとリソースフォ
          ークの入ったリソースファイルの2つです。
          マックのFinder上ではひとつのオブジェクトとして表示
          していますが、単なるファイルブラウザであるWindows
          では2つのファイルとして見えてしまいますね。
          (WindowsとMacOSの違いを調べてみると面白いですよ)
          ちなみにPowerPCアプリはプログラムはデータフォーク
          に入ります。
          68Kはリソースフォークに入っています。
          (なのでPowerPC用をデータフォークに、68K用をリソー
          スフォークに入れておけばどちらでも実行できる、い
          わいる「FATバイナリ」を作ることが出来た)
          どちらにせよユーザーからのイベントで実行されると
          思われるので、リソースフォークにウィルスやワーム
          を仕込んでというのは難しいんじゃないでしょうか。
          シェア
          親コメント

          • Re:不要なアクセス (スコア:0)

            by Anonymous Coward
            MacOSXになると、実行ファイルとは言わず、実行フォルダとなるんだなこれが。
            フォルダまるごとに環境が複数ファイルされているのさ。
        • あ、かんちがいしてました。 ファイルタイプの情報を別のファイルにいれてるんじゃなくて、 ファイルのヘッダ部分にいれてるんですね。

          マック使いからメールでファイルをもらったとき、 ふたつセットでくるから、勘違いしてました。

          --
          use Test::More 'no_plan';
          シェア
          親コメント
      • WindowsでもNTFSだとリソースフォークに相当するものを複数持てるようです。
        実際に利用しているかは知りませんが。
        単にファイルタイプに付いての情報は別のファイルに持っても速くはならないと思います。ランダムアクセスすることには代わりありませんから。
        速くするなら１つのファイルにまとめたキャッシュファイルにする必要があるでしょう。これならシーケンシャルアクセスなので割と速く読める事が期待できます。
        もっとも、エクスプローラはツリービューの「＋」を表示するためだけでもそのフォルダーのファイルをみんなアクセスしてるみたいなのでその辺のへぼさを改良するべきだとは思いますが(^^;
        シェア
        親コメント
        • 単にファイルタイプに付いての情報は別のファイルに持っても速くはならないと思います。ランダムアクセスすることには代わりありませんから。
          Jpeg ファイルとか、シェルスクリプトとか、 一定のマジックナンバーがファイルの先頭に書いてあるのはいいと思うんですが、 たとえばテキストファイルかどうかっていうのは、 ファイルをある程度読み込まないと分からないですよね。 それに、ファイルタイプひとつひとつについて、 その判定法を考えて実装しなきゃいけないから、 おなじランダムアクセスといっても量的にはだいぶ違ってくると思うんです。

          でも、たとえばそのファイルのMIMEタイプを、 別のファイルに入れておけば、 ファイルタイプ判定の実装も簡単だし、 結構いいんじゃないかなーとおもいます。

          ただ、そのぶん整合性を保つのが大変だと思うけど。。。 そんな機能をOSのカーネルに組み込んでほしくないし(笑)。

          --
          use Test::More 'no_plan';
          シェア
          親コメント
          • unixのfileコマンドがそんな感じでファイルの種類を判断してたと思いますが、確か読み出すのは１ブロック程度に制限してた筈です。（昔話かも(^^;）
            全ファイル領域を読み出すのは無謀ですね(^^;
            そういう感じだと分けても余り変わらないのではないかと・・・
            まあ、今のハードディスクはランダムアクセスもシーケンシャルアクセスも大差を感じられないのでなんともはやなんですが(^^;
            シェア
            親コメント

      • Re:不要なアクセス (スコア:0)

        by Anonymous Coward
        Windowsのあらゆるソフトの自動機能を抹殺するスレ [2ch.net]

        多少参考になります。

        mp3はどうか知りませんが、mpgファイルなら中身を読む機能を抹殺できるようですね。

    • Re:不要なアクセス (スコア:0)

      by Anonymous Coward
      中身を読むのは仕様ではないかと思います。
      拡張子よりファイルの中身をチェックして動いているような気が
      システムが欠陥なのか、ＯＥ＆ＩＥが欠陥なのか、いやそれはいつもの仕様ですなのか？
      添付のウィルスを実行する時のこの辺が原因だったりするが…

      #諦めるのもそれはそれでいいのかもと思う今日この頃

    • Re:不要なアクセス (スコア:0)

      by Anonymous Coward
      可能ではないようなので、私は、WinFDを使っています。
      これは、CUIベースのような見栄え、操作性に加え、アイコンなどの余計な表示をしないので、軽快ですよ。
      ファイル一覧がいつでも一瞬で表示されるのは嬉しすぎます。

      http://www.starseed.ne.jp/winfd/
  • ウチもWinampでoggを鳴らしているので「オッ? マズいな」とか思ったのですが、よくよく考えたら、自分で購入したリソースからのリッピング・エンコードモノしか鳴らしてないのに気付いたので放置してました。まあ、安全ではないでしょうが、危険もないハズだということで(笑)

    …タレコミ文にもあるけど、セイレーンよろしく「業界」の方からおまけ付きのファイルが送り込まれたりして(笑)
    --
    -+- 想像力を超え｢創造力｣をも凌駕する、それが『妄想力』!! -+-

  • DELコマンド使わんでも (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2002年12月20日 12時50分 (#221704)
    フォルダごと消せばえーんでないの?
    • %WINDIR%とかでは消せませんね。
      --
      Just a whisper. I hear it in my ghost.
      シェア
      親コメント
    • そーゆー人はFDISKして寝てください。
      そうすれば全てから解放されます。
    • > フォルダごと消せばえーんでないの?

      デスクトップとかルートディレクトリーごと消すことになったら
      ためらう人も出てきそうですね。
      極初心者だとためらわず消してから悩みそうです。
      # それが狙いですか?

      ロシアでは立て篭もりテロリストを殺すために
      人質ごと殺しちゃいましたね。

      日本人でもそういう発想できるなんて驚き
    • 長いファイル名で拡張子がPIFのDELコマンドでも消せないファイルはそうしたような気がします。
      #荒らしモデレータが悪さしているみたいですが、ビシバシメタモデしています。これはメタモデできませんでしたが(;_;)
      • はて？
        ディレクトリごとだと消せて、delだと消せないファイルとは？
        8+3文字ファイル名の作成さえしておけばどんなファイルも
        消し放題なのでは？
        • ngからダウンロードしたファイルにそういうのがあって、DELETEしようとするとWindowsがハングアップしてしまうので消せませんでした。
          コマンドラインからのDELやRENAMEも効きませんでした。
          8+3文字ファイル名を指定してもだめでした。
          DOSで立ち上げてはやってませんが。
          OSはWindows Meだったような気がします。
          ファイル
          • ？ PIFなら普通に削除すればいいのに。
            もしくは名前かえるとか。
            意図的にショートネーム切ってるでもないだろうし。属性？

            ってかそれオープンしてるファイルじゃない？
            • 拡張子がPIFというのは削除できなかったことには無関係とは思います。
              名前は変えられませんでした。"REN *.* FOO.DAT"とかのワイルドカードも効きませんでした。
              Windowsが何度もハングアップして立ち上げ直したのでオープンされてることはない筈です。
              恐らくどこかでバッファオーバーフローを起こしているような気がします。
    • むぅ。「余計なもの」ですか。妙案だと思ったのだが。
      つーかシステムフォルダに、直接MP3やWMAを突っ込んでいるような奴は
      日頃から整理整頓に心がけておくべきだったと反省しなサーイ。

      それはさておき別の解決法。
      FAT上のファイルならLinuxやBSDで消せばいいんじゃないかな。

      • Re:DELコマンド使わんでも (スコア:1)

        by oku (4610) on 2002年12月21日 19時04分 (#222596) 日記
        むぅ。「余計なもの」ですか。妙案だと思ったのだが。
        う～ん、マジだったんですか。 実はジョークだと思ったので「FDISK の人以外、なんでマジレスするかなぁ」と思ってました。
        FAT上のファイルならLinuxやBSDで消せばいいんじゃないかな。
        PC 初心者でなければ、コマンドプロンプトから DEL 叩いたほうが楽でしょうから、PC 初心者限定 (ここでは初心者の定義はおいとくとして) だとすると、Linux や *BSD はそれこそもっと敷居が高くありませんか？ (Unices も高倉健辺りが CF で「簡単じゃねえか」とか言い出したりするなら別でしょうけど)

        それに、ご家庭の一般消費者 (何か表現がヘン ^_^;) 向けの XP Home edition の場合だと、プリインストールしているメーカーのポリシー次第でしょうけど、NTFS の方が多かったりしないですかねぇ。

        シェア
        親コメント

  • ローレベルで逝け！ (スコア:0)

    by Anonymous Coward on 2002年12月20日 10時41分 (#221603)
    すでに怪しいファイルを削除するときは、エクスプローラからは
    削除できないので、DELコマンドを使えということだそうな。
    XPでもまだまだDOSは必須のようで。

    • Re:ローレベルで逝け！ (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2002年12月20日 10時47分 (#221609)
      こういうときのために、XPのコマンドラインシェルを強化しておきましたので。

      --ビルＧ
      シェア
      親コメント
    • DELコマンド使わずとも余計なもの読まないファイラ使えばよいだけでは？
      ってわけで今回のこと程度では必須ってこともないようで。
      # 標準で入ってるものって限定されるとそれしかないかもしれないけど
      # と書いてからふぉーまっとなんて手段があったなぁと思い出す(ぉ
      # どっちかってーとKeyboard万歳な方なのでAC

      • Re:ローレベルで逝け！ (スコア:1)

        by svachi (12574) on 2002年12月20日 20時55分 (#221992)
        エクスプローラの代行に乗り換えられては、次はIEの代行(モジラとか)、果ては別のOSに乗り越えられてしまうことを恐れるMS :-)
        だから、MS的にはエクスプローラ以外のファイラーが世の中に存在していることをユーザに知られたくないのでは？
        シェア
        親コメント

    • ツッコミ (スコア:0)

      by Anonymous Coward
      > XPでもまだまだDOSは必須のようで。

      XPのコマンドプロンプトはDOSではありませんが。

      • Re:ツッコミ (スコア:0)

        by Anonymous Coward
        MS-DOS窓/コマンドプロンプトのことを差しているのではなく (#221790) [srad.jp]で仰せられているように、XPを落として MS-DOSを起動してファイルを操作するってことなんじゃないのかな？
        ま、FAT32やNTFS以降のファイルシステムは、(特別なユーティリティや常駐物がないと)どうしようもないのだが。

  • W2Kシャットダウン時のエラー     [winfaq.jp]
    何を信じていのかわからんっす

    • ど～りで。 (スコア:0)

      by Anonymous Coward
      ヤツのせいだったのね...妙にシャットダウンに時間がかかると思ったら...
      まぁ、起動に時間がかかるわけじゃないから別にいいんだけど。

      今回のパッチですが、ゲームやってたらいつの間にかインストールの準備完了してた。
      Windowsの自動更新は必要なときにしかでないからウザくなくてイイ。

  • そして (スコア:0)

    by Anonymous Coward on 2002年12月20日 11時29分 (#221638)
    密かに「ざまーみろ」とかほくそ笑む音楽業界。

    # マイクロソフトがパッチ出さないでいてくれるといいなあ、とか
    # お星様に願いをかけてみたりとか。
    • 現在、攻撃のための準備を行っております。

      by音楽業界

    • Re:そして (スコア:0)

      by Anonymous Coward
      ># マイクロソフトがパッチ出さないでいてくれるといいなあ、とか
      ># お星様に願いをかけてみたりとか。

      ウィンドウズアップデートが動かなきゃ同じ事が起るだろうに
      そんな事になった潰れるのも時間の問題でげす
      ＭＳ倒産したあとってやっぱそうなるんだろうとヒソヒソ秘密会議

      #神様、仏様、悪魔様にお願いしてみたり。

      • Re:そして (スコア:1, おもしろおかしい)

        by Anonymous Coward on 2002年12月20日 15時12分 (#221811)
        >#神様、仏様、悪魔様にお願いしてみたり。

        ペンギン様やデーモン様にお願いするんではないですか?
        シェア
        親コメント

        • Re:そして (スコア:0)

          by Anonymous Coward
          閣下にお願いしてみるとか。
          ぇぇ、MSと言えばあの疑惑広告の...

  • だったら (スコア:0)

    by Anonymous Coward on 2002年12月22日 15時41分 (#222909)
    mp3を 一旦 wavに変換して、それをwmaとかmp3に変換しなおせば？
    つーか、変換する為にmp3を開いたら負けなのか・・・（ｗ；
typodupeerror

犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー