今度はRuby・・・ruby-lang.orgクラックされる 75
ストーリー by wakatono
次もあるかも… 部門より
次もあるかも… 部門より
nisi 曰く、 "Matzにっき、アナウンスによると、helium.ruby-lang.org（WWW、FTP、CVS）がクラックされたとのこと。また、namazu プロジェクトと同様に CVSの脆弱性によるものだそうです。・・・大手が続いていますね。"
ほぼ復旧は終わっているようだが、関係者の方々にはおつかれさまですと言いたい…。何度も書いたことだが、他のプロジェクトも要チェック。
自動停止 (スコア:2, 興味深い)
自動的に停止する、みたいなシステムは出来ないですかね。
多少不便にはなるけど危険なまま運用するよりはマシな気がするし。
あります (スコア:2, 興味深い)
昨年作って一回もバージョンアップしていませんが。
Anonymous CVSって必要？ (スコア:1, 興味深い)
少なくとも今回はpserver経由の脆弱性だったんで、Anonymous CVSを止めてれば問題なかったんじゃないですかね？確かcommiterはssh経由でアクセスしてるはずだし。
rubyは定期的に最新のソース全体をアーカイブしたsnapshotを公開しているのでAnonymous CVSの必要性は低いし、CVSupやcvswebなどほかの手段でのアクセスも可能なので、いっそAnonymous CVS自体を止めちゃっても良いような気がしますが。
まぁ、CVSの他の部分やCVSupにセキュリティホールが無いという保証は無いんで、今頃こんなこと言っても後の祭りな訳ですけどね。
Re:Anonymous CVSって必要？ (スコア:1)
いや面倒だと思いますけどね。
予想 (スコア:0)
chrootしていた [ruby-lang.org]ディレクトリ下に置いたCVSを更新し忘れていた。
とか?
おつかれさま? (スコア:0)
Re:おつかれさま? (スコア:3, 興味深い)
対応の遅さが気になりますね。
Ruby,mozilla,namazu と大手ほど、対応していないのか、
それとも、大手でも対応できないのか。
オープンソースの大御所として、
彼等には、小さなプロダクトの手本となっていただきたい。
# 「ボランタリーな団体には、サーバの保守なんて無理なんだよ。」
# とか、どっかの商用プロダクトに言わる事がないように
# がんばって下さい。
Re:おつかれさま? (スコア:2, 参考になる)
Re:おつかれさま? (スコア:0)
Re:おつかれさま? (スコア:0)
Re:おつかれさま? (スコア:3, すばらしい洞察)
言い訳にもなりゃしないと思うけどなあ。CVS止めれば済む話だし。
CVSの脆弱性の重要度をきちんと認識し、パッチを手に入れようとしたが回線混雑で手に入れられない、という現状認識がきちんと出来ていたのであれば、まずCVSを止めて、開発参加してる連中とかに[CVSパッチ落としきれないんで対処できるまで止めるね、ごめん]って連絡する、みたいな対処を行うはず。
そんな理由じゃないと思うよ。
そんな理由だったとしたらダサすぎるよ。
Re:おつかれさま? (スコア:0)
とりあえず止めておく (スコア:2)
できるまで停止することにしました。（さっきアナウンスしてきました）
＃cvs自体を含め、サーバは随時更新してます。
Re:おつかれさま? (スコア:1, 余計なもの)
大手だから狙われたんじゃないかと・・・
taka4
Re:おつかれさま? (スコア:1)
大手ほど対応しない
組織が硬直化している
話を通すのが難しい
大手でも対応できない
要求される技術力がない
どこからターゲットになり易いかそうで無いかの議論になったのか
Re:おつかれさま? (スコア:1)
つまり、大手であろうがなかろうが、対応状況はかわらないんじゃないか
と思ってます。
クラックされたという今回のニュースからわかるのは、その対応状況云々
じゃなくて、大手だからじゃないの？ってことが言いたかっただけです。
大手以外は狙われる可能性も低いし、例えクラックされてもニュースにな
る可能性も低いですよね。
taka4
Re:おつかれさま? (スコア:2, すばらしい洞察)
MS でこんな事がある時も、同じようにねぎってやってほしいな。
Re:おつかれさま? (スコア:1, おもしろおかしい)
確かに MS 製品はちょっと値頃感に欠けますからね。
# 「ねぎらう」だろう、と一応ツッコミ。
Re:おつかれさま? (スコア:1)
MSの場合は叩かれるだろうけど、なんとなくそれが定番化していて、
たとえMSが悪くなくても叩かれる、ってのがパターン化されているように思えます。
MSってそういうキャラなんじゃないかなぁ。
# WindowsからMS叩き
1を聞いて0を知れ!
Re:おつかれさま? (スコア:0)
ダメッ子に加えていじめられっ子ですか。
なんか萌えてきた。
Re:おつかれさま? (スコア:0)
Re:おつかれさま? (スコア:1)
そんな人って珍しいかなぁ。
1を聞いて0を知れ!
Re:おつかれさま? (スコア:1, おもしろおかしい)
WindowsXPを半額にしてくれ！
Re:おつかれさま? (スコア:3, おもしろおかしい)
障害報告があるだけマシ (スコア:0, すばらしい洞察)
落ちっぱなしで何がおこっているか報告もしないようなところよりは遥かにマシ。
Re:障害報告があるだけマシ (スコア:0)
でも、進捗報告があるんではるかにましってところは同意
なさけないですな (スコア:0, すばらしい洞察)
被害者の方々は、とっとと sourceforge にブツ移動して一年間ほどサーバー管理謹慎しれ。
Re:なさけないですな (スコア:0)
Re:なさけないですな (スコア:0)
勿論 CVS のアップデートも。
後、サークル上がりみたいな物だからとか人手がとかお金がとかはないでしょうし。
#最善かと言われれば自信は無いですが。
もじら組 (スコア:0)
そうなると、やはり、同一犯?
まつもとさんの日記にあるように
となることを願います。
#でも、手口が単純な設定ミスで、「不正」とは呼べない仕組だったら、また例のごとく論争が。うむむむ～。
Re:もじら組 (スコア:1, すばらしい洞察)
なるとしたら、脆弱性を塞ぐ方法があったにも関わらず対処をしなかった、という管理責任を突っ込まれて、罪を軽くされちまう可能性がある、くらいかな。
無罪放免は無いだろうけど、いくら取れるかね。
Re:もじら組 (スコア:1)
＃どちらかと言うと、不正アクセスを行う側が、「どれくらい執念をもってやっていたか」という判断材料に使われる感じでしょうか？
で、今回のCVS云々、という件について言えば、サーバの運用停止を余儀なくされているので、不正アクセス禁止法というよりは、電子計算機損壊等業務妨害（刑法第２３４条の２） [e-gov.go.jp]な気がします。
＃これなら最長５年なので、余罪を絡めれば、７年半ぶち込むことが可能。
もちろん、民訴でせしめる損害賠償額については、どっちにしても行為責任のバランスと実損害額の掛け算で決まるので、「どれだけキチンと管理していた（ように裁判官に見える）か」がポイントになります。
Re:もじら組 (スコア:0)
Re:もじら組 (スコア:1, 興味深い)
Re:もじら組 (スコア:1)
対処が遅かったことに問題があるとはいえ、狙われたのはCVSの脆弱性であり、しかも何もせずにデフォルト公開されている場所に関するものでもなく、明確に改竄できない（させたくない）場所の情報を、脆弱性を利用して意図的に改竄しわわけですから。
taka4
Re:もじら組 (スコア:0)
少なくとも警察は違う見解のようですね。そうでなければそもそも逮捕などなかったでしょうから。
> 今回とはだいぶ状況が違いませんか？
と言う訳で、あなたの見解にしたがえばそうかも知れません。しかし違う見解の人も明らかにいますね。
Re:もじら組 (スコア:1)
一方、今回の件の場合はCVSに明らかな攻撃の意図を持ったコードを突っ込まないとクラック出来ません。
従いまして、Office氏の事件が不正アクセスであるか否か、逮捕に正当性があったかどうかにかかわらず、Office氏の事件と今回の事件はまったく状況が違うと思います。
#突っ込み、フォローがありましたらよろしくお願いします。
Re:もじら組 (スコア:1)
誤解を招くような書き方をしたことは反省しておりますが、URLの引数ではなくPOSTメソッドの引数をさしていることをお察しください。
Re:もじら組 (スコア:1)
サーバ上のHTMLを書き換えるのと、ローカルに保存したHTMLを書き換えるのとは、まったく違うでしょう。
さらにいえば、別にローカルのHTMLを書き換えずとも、Telnetでつないで全部手で打つことや、wgetの引数で指定することでだって、実現可能ですね。
Re:もじら組 (スコア:1)
しかし、CVSの脆弱性をついて攻撃するのは少なくとも、HTMLの知識がある程度のレベルではできないでしょう。
この難易度の大きな差を根拠にOffice氏の事件と今回の事件が状況がぜんぜん違うといっているのです。
#もしかしてサーバー上に存在するHTMLファイルを書き換えているのだと勘違いしていませんか。
Re:もじら組 (スコア:1)
taka4
Re:もじら組 (スコア:0)
Re:もじら組 (スコア:0)
まさしく「不正アクセス」されたんだから、出てきても別に不思議じゃないと思いますが。管理がずさんだった(迂闊
Re:もじら組 (スコア:3, 参考になる)
---
第三条 何人も、不正アクセス行為をしてはならない。
(略)
三 電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に電気通信回線を通じてその制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為
---
つまり、パスワードによって制限されている機能があるときに、
なんらかの手段でパスワードを入れたのと同じ効果を得ることは不正アクセス行為になる、と。
(ちなみに、
三条の一は他人のパスワードを使うこと
三条の二はニセのパスワードを使うこと
です。)
今回の場合、
CVSのバグに乗じてコードを流し込むことによって、
通常はパスワードを入れてログインしないと出来ないことを
出来るようにしたので、まんま不正アクセス行為です。
Office 氏の場合、そもそもパスワードをかけていた
(アクセス制御機能によりその特定利用を制限されていた)
ことになるのかどうかが争点になっているので、ちょっと別問題ですね。
Re:もじら組 (スコア:1)
MSを見習え (スコア:0, 余計なもの)
Re:MSを見習え (スコア:1, すばらしい洞察)
ソフトウェアの更新し忘れでクラックされるのはどこがやっても情けないと思いますが。
Re:MSを見習え (スコア:0, 余計なもの)
Re:MSを見習え (スコア:0)
Re:MSを見習え (スコア:0)