現在地 HOME > 掲示板
> ＩＴ１ > 367.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ１ > 367.html
★阿修羅♪
|
|
(回答先: 完全性チェック抜きのコンパイルは危険――tcpdumpなどにトロイの木馬の恐れ 投稿者 クエスチョン 日時 2003 年 8 月 19 日 22:16:34)
Sendmailソースコードにトロイの木馬
http://www.zdnet.co.jp/enterprise/0210/09/n10.html
米CERT/CCは米国時間の10月8日、電子メールサーバソフトウェア
「Sendmail」のソースコードが改ざんされ、トロイの木馬が仕込まれてい
る可能性があると警告し、ソースコードの正当性を、PGP署名やMD5チェッ
クサムを用いて検証すべきとしている。
米CERT/CCは米国時間の10月8日、電子メールサーバソフトウェア
「Sendmail」のソースコードが改ざんされ、トロイの木馬が仕込まれてい
る可能性があるとしてアドバイザリを発行した。
このアドバイザリによれば、トロイの木馬が仕込まれている可能性があ
るのは、SendmailのFTPサイト「ftp.sendmail.org」から配布された
「sendmail.8.12.6.tar.Z」と「sendmail.8.12.6.tar.gz」で、9月28日ご
ろから10月6日の22時までの間に配布されていたという。このFTPサイトは
その後停止されている。
CERT/CCは、HTTP経由でダウンロードされたコピーには、トロイの木馬
が含まれていない可能性が高いとしながらも、念のため予防措置を取るよ
う呼びかけている。
このSendmailをビルドするとトロイの木馬が起動し、リモートサーバに
TCP/6667ポートで接続してシェルを開こうとする。攻撃者はこの裏口を通
じて、リモートからのアクセス権限を取得し、Sendmailをビルドしたシス
テム上でさまざまなコードを実行できてしまう可能性がある。
しかもこのとき得られる権限は、ソースコードをビルドしたユーザーの
権限。もしrootでビルドしていれば、root権限が奪取されてしまうことに
なる。また影響があるのも、Sendmailデーモンが稼働しているシステムで
はなく、Sendmailをビルドしたシステムである。
CERT/CCはこの問題に対し、幾つかの対策を紹介している。対症療法的
な方法は、TCP/6667ポートを塞ぐこと。また、もし9月28日以降に
Sendmailのソースコードをダウンロードしていた場合、ビルドはroot以外
の権限で行うことだ。
最も基本的、かつ重要なことは、入手したソースコードにトロイの木馬
が含まれていないかどうかを、PGP署名やMD5チェックサムを用いて確認す
ることだ（ただし、HTTPSではなくHTTPで配布されている公開鍵が、果た
して本当に正しいものであるかどうか、という議論は残る）。
いずれにせよアドバイザリでは、「タイムスタンプやファイルサイズに
頼るのでは不十分だ」と警告しており、Sendmail本家だけでなく、パッケ
ージの再配布を行っているサイトやミラーサイトを通じてSendmailのソー
スコードを入手したユーザーに、それが改ざんされたものでないかどうか
検証するよう強く推奨している。
関連リンク
CERT Advisory CA-2002-28 Trojan Horse Sendmail Distribution
Sendmail
題名には必ず「阿修羅さんへ」と記述してください。