■

■パッチ・ミー・イフ・ユー・キャン

WindowsのUNCパス処理にバッファ・オーバーフローの脆弱性

Jetデータベース・エンジンにバッファ・オーバーフローの脆弱性

IT Pro ニュース の勝村さんによれば、電卓の実行まで手元で確認できたとのことです。

eEye発見のセキュリティホール

パッチは当分出そうにないとの観測あり。リモートから実行ファイルを動かされてしまう。危険。eEyeだけに、バッファオーバーフローもの？ならばパッチはすぐに出せそうなものですが。

Win98系のKB891711話

2005/04/13追記：MS05-002ないしKB891711関連を検索してご訪問頂いた方にご案内いたします。当日記の記事、■MS05-002改訂版 for Windows 98、98SE および ME がリリースされました。を是非ご覧下さい。不具合修正の為の改訂版のパッチが出ているようです。

マイクロソフト筋から正式にコメントが出たのはこれが初めてではないかな？遅すぎのような気が。

Microsoftの「TechNet」サイト内にある掲示板に掲載された情報によると、同社が公開した「KB891711」のアップデートでは、Windows 98/98 SE/MEが動作するコンピュータを十分に保護することができないという。このアップデートは、カーソルやアイコンのフォーマット処理に関する脆弱性に対処するものだった。同パッチは、Microsoftが1月の月例パッチリリースの際に公開した「MS05-002」に含まれていた。

この件に関して、同社関係者は短い声明を出し、問題の見つかったアップデートをアンインストールするようユーザーに呼びかけることも考えたが、パッチを削除してもコンピュータが危険にさらされているのは変わらないので思い直したと述べた。

「われわれは、現時点でこの報告の内容が正しいことを確認しており、現在その解決に向けて作業を進めているところだ」とMicrosoftのSecurity Response Centerに所属するJerry Bryantは述べている。「問題のアップデートをアンインストールした場合、マシンが元の脆弱な状態に戻ってしまうことに留意してほしい」（Bryant）

アップデートをしてブルースクリーン出まくりならばパッチの機能が有効に働いているのかすら疑問です。というか記事中でもWindows 98/98 SE/MEが動作するコンピュータを十分に保護することができないとありますしね。動作に不具合が出るのならアンインストールして正しいパッチを待つ一手でしょう。ウイルス対策ソフトやスパイウェア対策ソフトをデータやプログラムなど最新にして運用すると少しでも気が晴れるのではないでしょうか。

上から引用させて頂きます。

Microsoft has received reports about issues with KB891711 on Windows 98, Windows 98 SE and Windows ME. At this point, we have been able to confirm these reports and are currently working on a resolution.

Please note that by uninstalling the current update, the machine will return to a vulnerable state. At this point, we are currently not aware of customer's being exploited by way of the vulnerability fixed in MS05-002 on Windows 98, Windows 98 SE and Windows ME. If you need additional assistance regarding this update, please contact +1 (866) PCSAFETY. When calling, please indicate that you are having issues with a security update.

--
Regards,

Jerry Bryant - MCSE, MCDBA
Microsoft IT Communities

Get Secure! www.microsoft.com/security

パッチ・ミー・イフ・ユー・キャン

昨日の日記がネタ振りになっていたとは私でも気がつかなかった。

■FirefoxのJava AppletからIEがアドウェアに感染する

いやぁん

余談ですけどずいぶん前からsecuniaの未パッチリストでOperaは全クリしているんですよね。もっかのところ最もセキュアです。個人的にはどうも使う気がしません。キライなの。ウィンドウを開いたときにステータスバーが無いのはキライなの。ちょっと前まで（今はそうじゃないけど）HTMLページを表示した時にコンテンツに画像とか外部から参照しなくてはいけないものがあるとアクセスする都度URLアドレスバーにそのアドレスが表示されるという悪夢のような実装だったんですよね。あれでゲンナリしたことは確か。img要素の画像が１０個もあれば１０回アドレスバーが書き換わる。あ、１１回か。元に戻るから。これというのもステータスバーがないからでしょう？そうでしょう？違うの？とか思っていました。案の定、アドレスバーを書き換えている最中にリダイレクトしたり、リダイレクトする振りをしながらJavaScriptで無限ループさせてリダイレクトを強制的に邪魔したりとかでアドレスバーの詐称が出来ていたんですよねぇ。今は直っているみたいですけどね。Secuniaに載っていたような気がします。長い余談ですね。すみません。徹夜続きで眠いので寝ます。