パスワードを忘れた？ アカウント作成
Close
14416 story

JavaランタイムにGIFファイルにより攻略可能な脆弱性 46

ストーリー by GetSet
可及的かつ速やかな対処を 部門より

SassyOS2 曰く、

Secunia アドバイザリによると、SUN Java ランタイムにリモートからシステムにアクセスできる脆弱性（SUN による発表）が報告されています。幅0ピクセルの攻略GIFファイルでヒープオーバフローを起こし、任意のコードが実行できるそうな。とはいえZERO DAY INITIATIVEによると、鴨となるユーザーが、攻略ファイルをしかけた悪意あるサイトを訪問する必要があるようです。脆弱性の緊急度は 5 段階の 4 (Highly critical)で、すでに Java 1.3/1.4/5.0 で対策バージョン(1.3.1_19/1.4.2_13/5.0 update 10)が提供されています。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

JavaランタイムにGIFファイルにより攻略可能な脆弱性 More

  • 日本語ダウンロードページへご案内(^o^;

    Java 2 Standard Edition, v 1.3.1_19 (J2SE) [sun.com]
    Java 2 SDK, Standard Edition, v 1.4.2_13 (J2SE) [sun.com]
    Java SE ダウンロード [sun.com]

    ストーリーと関係はありませんが、Java 5.0 update 10 リリースノート [sun.com]によれば、
    Vista 向けの修正がいくつかはいっていますね。

  • Javaで書いていればこんなことにはならなかったろうに……。

  • OSS化で発見? (スコア:1)

    by Elbereth (17793) on 2007年01月18日 7時20分 (#1093700)
    これはJavaのOSS化によって見つけることができた脆弱性?
    最近の脆弱性の発見頻度からするとそうでもないような気がしますが……

    • Re:OSS化で発見? (スコア:1, 参考になる)

      by Anonymous Coward on 2007年01月18日 20時41分 (#1094130)

      ソースコードが見られるか、という意味では、OpenJDKの前からSCSLやJRLの元で見ることはできました。

      http://java.sun.com/javase/faqs.jsp#Licensing [sun.com]

      ですから、OSS化の影響かと言われると、そうでもないように思います。 もっとも、OSS化で興味を持つ人が増えたから見つかった、という可能性はありますが。

      シェア
      親コメント

    • Re:OSS化で発見? (スコア:0)

      by Anonymous Coward
      jvmはまだOpenSource化されてないとおもいます

  • Mac OS X では未対処? (スコア:1)

    by vn (10720) on 2007年01月18日 11時52分 (#1093816) 日記
    Mac OS X で使える Java 実行環境は、新しくても 1.5.0_07 や 1.4.2_12 止まりだから、
    パッチの発行されていない脆弱性が存在する、と推測できると思う。

  • システム修正 (スコア:0)

    by Anonymous Coward on 2007年01月17日 23時38分 (#1093608)
    この修正版にアップデートしたら国のシステム使えなくなるんだろうなぁ
    システム側は動作試験し直し？

    • Re:システム修正 (スコア:0)

      by Anonymous Coward
      これいつも話しに出るけど、OSでも他のアプリでもランタイムでも、国のシステムにかかわらず同じでしょう。
      完全な動作の保証を求めるには提供側に確認してもらうしかない。

      そのためのサポートでしょ？
      それとも売り切りなの？
      だとしたらそういう契約してないところが悪い。

      いまどきOSだってアンチウィルスだってその他のアプリだってパッチは定期的に当てれるし、それが普通。

      • 国のシステム (スコア:2, 参考になる)

        by stat (28781) <28781NO@SPAMa2the.net> on 2007年01月18日 9時47分 (#1093737) 日記
        政府が一般に公開しているサービスとして、登記などのオンライン申請や、有価証券報告書等の電子開示等があります。これらは特定バージョンのアクセス以外は弾いてしまう仕様になっているので、バージョンの表示が少しでも違っていたら、たとえ同じ動作をするとしてもサービスを受ける事ができません。
        (因みにオンライン申請では JRE 1.4.2_11、有価証券の開示では JRE 1.5.0_05 が要求され、同一マシンで2つのサービスを受ける事はできません。)
        セキュリティパッチが当たったものが指定バージョンになるのは通常数ヶ月先になります。
        シェア
        親コメント

        • Re:国のシステム (スコア:0)

          by Anonymous Coward
          bat書いてpathやJAVA_HOME指定してから実行してもだめ？

        • Re:国のシステム (スコア:0)

          by Anonymous Coward
          (因みにオンライン申請では JRE 1.4.2_11、有価証券の開示では JRE 1.5.0_05 が要求され、同一マシンで2つのサービスを受ける事はできません。)
          Windowsの場合ですが、JREをインストールするとコントロールパネルに「Java Plug-In」かそれに近い名前のものが作成され、それを使用することでJREのバージョンを切り替えることが出来ます。これを使ってJREを切り替えてもダメなのでしょうか？

        • Re:国のシステム (スコア:0)

          by Anonymous Coward

          (因みにオンライン申請では JRE 1.4.2_11、有価証券の開示では JRE 1.5.0_05 が要求され、同一マシンで2つのサービスを受ける事はできません。)

          JREは複数インストールできるしWebページやアプリ側で使用バージョンの指定もできるのに妙な仕様ですね。やっぱり手抜きをごまかしてるだけなんでしょう。

          仮に政府調達が.NET Framework製のアプリになっても「.NET Framework 1.1のみ。2.0との共存は不可。セキュリティパッチ不可」とかやるんでしょうかね。Windows Vistaでいきなり達成不可能ですし想像しただけでもオラワクワクしてきます。

      • Re:システム修正 (スコア:0)

        by Anonymous Coward
        Javaを使った国のシステムは、大抵の場合Java環境のアップデートを禁じてますし、特定のバージョンでしか動作を保証してくれません。

  • 鴨となるユーザー (スコア:0)

    by Anonymous Coward on 2007年01月18日 0時02分 (#1093623)
    って、こりゃまた随分と蔑まれてしまいましたな。怖い怖い。

  • 「とはいえ」？ (スコア:0)

    by Anonymous Coward on 2007年01月18日 0時15分 (#1093630)
    とはいえZERO DAY INITIATIVEによると、鴨となるユーザーが、攻略ファイルをしかけた悪意あるサイトを訪問する必要があるようです。
    「とはいえ」っていうけど、それってごく普通の前提条件だよ。今日では。

    • Re:「とはいえ」？ (スコア:0)

      by Anonymous Coward
      SUN側の発表ではアプレットの権限昇格が起きるらしいから、ZDIはそれを一番よくあるパターンで言い換えただけだろうね。
      悪意あるサイト経由じゃなくてもアプレットを扱うなら等しく脆弱だよ。

      もうめんどくさいしこのままでいっか。
      いまさらアプレットなんて使わんことだしブラウザで無効化だけしとこう。

  • 部門名 (スコア:0)

    by Anonymous Coward on 2007年01月18日 0時17分 (#1093633)
    >可及的かつ速やかな対処 可及的って副詞 [goo.ne.jp]だと思うんですが… 日本語って副詞＋名詞はOKでしたっけ？
    #日本語文法が怪しい今日この頃

    • Re:部門名 (スコア:1)

      by giggs (8330) on 2007年01月18日 1時13分 (#1093653) 日記
      確かにこれは、日本語の乱れと言ったレベルではなく、明らかな誤用ですな。
      シェア
      親コメント

      • Re:部門名 (スコア:1)

        by gnaka (17369) on 2007年01月18日 6時31分 (#1093697) 日記
        　確かに誤用だけれども、速やかという形容動詞に○○的という言葉をつけるのは本来現代日本語としてかなり異常な上に、今どき役人でも使わない言葉なのだそうなので、無理もないでしょう。
        シェア
        親コメント

      • Re:部門名 (スコア:0)

        by Anonymous Coward
        いいえ、お役所言葉 [google.co.jp]です。

      • Re:部門名 (スコア:0)

        by Anonymous Coward
        ぐぐる大先生によると、元もとお役所言葉 [geocities.co.jp]だったという説があるようです。
        自分はDAKARA(小便小僧)のCMではじめてこの表現を知りました。
        無駄に堅苦しい(日本語として?な)表現を揶揄したんでしょう。

        # ネタにマジレスすみません

        • Re:部門名 (スコア:0)

          by Anonymous Coward
          マジレスじゃなくてボケレスでしょ。「可及的速やか」を「可及的かつ速やか」と、意味不明な分割をしているのが誤用だということ。

          • Re:部門名 (スコア:2, おもしろおかしい)

            by Anonymous Coward on 2007年01月18日 5時26分 (#1093691)
            それは誤用とは言わない。冗長なだけ。意味は変化していない。
            ABを、AかつBを言い換える例を列挙してみるか？

            # ヒレカツ　ハンバーグ
            シェア
            親コメント

          • Re:部門名 (スコア:0)

            by Anonymous Coward
            本気で「意味不明」と言うのであれば、それは読み手の読解力の問題でもある。
            正確に書くことはそれなりに重要だが、言葉の誤用がある文章を読み解けることも重要

            • Re:部門名 (スコア:0)

              by Anonymous Coward
              「可及的かつ速やかに」って「できるだけかつ速やかに」と言ってるわけでしょ？
              「意味不明」と言われてもしかたないレベルかと。
              これを書いた人の意図を推定することはできますが、このような誤用をやらかす人が「可及的」の意味自体を取り違えていないという保証もないので、その推定が当たっているかどうかは不明ですね。

              • Re:部門名 (スコア:0)

                by Anonymous Coward
                > このような誤用をやらかす人が「可及的」の意味自体を取り違えていないという保証もないので

                んなこと言ったら人と会話なんてできんわい
                神経質なやっちゃ

        • Re:部門名 (スコア:0)

          by Anonymous Coward
          >自分はDAKARA(小便小僧)のCMではじめてこの表現を知りました。

          私はエヴァンゲリオンのミサトさんの台詞で知りました。

          それだけなのでAC.

    • Re:部門名 (スコア:0)

      by Anonymous Coward
      [速やか-だ]が、形容動詞なので、議論にさえならない。

    • Re:部門名 (スコア:0)

      by Anonymous Coward
      つっこみどころは可及的の品詞じゃなくて、可及的は「速やか」にかかるのに「かつ」で結んでるところ

      • Re:部門名 (スコア:1, 参考になる)

        by Anonymous Coward on 2007年01月18日 2時05分 (#1093668)
        「可及的速やかに」ですね。

        ＃どうでもいいのでAC
        シェア
        親コメント

        • Re:部門名 (スコア:0)

          by Anonymous Coward
          某児童文学のファンなだけでは？

          #可及的かつ速やかに、っていう台詞を使うキャラクターが居るのですよ。
          #自分もファンなのがバレルと困るのでAC

    • Re:部門名 (スコア:0)

      by Anonymous Coward
      私が良く間違ってしまう表現:

      「火急かつ速やか」
      意味: とっととせんかい!! ケツに火 点けんぞっ!!

  • タレコミに物申す (スコア:0, 荒らし)

    by Anonymous Coward on 2007年01月18日 3時17分 (#1093685)
    「幅0ピクセル」なんてSecunia アドバイザリにしか書いてない（正しいと信じよう）
    そこへ来て、
    • 攻略GIFファイル
    • 鴨となるユーザー
    ときたもんだ。
    「悪意あるサイトを訪問する必要がある」←ここだけ切り出してみ
    どんな先入観が発生するんだか。
    ああ、言葉が悪かった。謝っとくよ。言いたかったことは、

    タレコミは正確に

    色を付けるのはコメントにまかせておいて。

    •   「幅0ピクセル」なんてSecunia アドバイザリにしか書いてない（正しいと信じよう）
      そこへ来て、

      いちおうネタ元はSecunia アドバイザリですから、その情報の真偽は何とも言えませんが、少なくとも

      攻略GIFファイル

      はタレコミ人の勘違いだったことが BugTraq で公開された実証コード [securityfocus.com]で明らかになりました。

      /*
        *
        * FileName: JvmGifVulPoc.java
        *
        * Date: 2007-01-21
        *
        * Description: Sun Microsystems Java GIF File Parsing Memory Corruption Vulnerability Prove Of Concept Exploit
        *
        * Environment: Only successfully tested on Sun Jre 1.5
        *

      詳しくはリンクを参照してください。ご指摘に感謝です。また「荒らし」モデに懲りずに何かありましたらコメントお願いいたします。m(_@_)m
      --
      モデレータは基本役立たずなの気にしてないよ
      シェア
      親コメント

  • データベースから抽出した場合 (スコア:0)

    by Anonymous Coward on 2007年01月18日 8時06分 (#1093710)
    例えば、BLOB列にGIF画像をINSERT/UPDATEするような所では問題が出ない（はず<-単なるバイナリなので）だけど、
    逆にBLOB列からGIF画像を抽出して、image系なクラスを使ったりすると、幅が0の場合は大変な事になる
    と言う事でしょうか？？。
    ＃↑例えば<IMG SRC="/HogehogeServlet">な方法としたときのHogehogeServlet.classでとか

typodupeerror

あと、僕は馬鹿なことをするのは嫌いですよ (わざとやるとき以外は)。-- Larry Wall