2006年9月 8日

[Namazu-devel-ja 1203] Re: Namazu 2.0.17 のリリース準備

At Wed, 06 Sep 2006 18:52:52 +0900,
Tadamasa Teranishi wrote:
> どこからどこのバージョンで起こるのか追跡していませんので、野首さん
> のを参考に「Namazu 2.0.16 以前ではこういう問題があった」と書くこと
> にしましょう。

とりあえずこんな感じで日本語版を書いてみました。

IPAのクロスサイトスクリプティングに関する記述はリンク切れになってい
たので、それも直してあります。

あと、テンプレート関連がどういう条件でバッファーオーバーフローが起き
るのかをちゃんと把握していないので、そのあたりの記述があいまいになって
います。
対応策もこれ以外にいくつかあった気がしたのですが、あんまりよく覚えて
いません。
--
野首 貴嗣
E-mail: knok@xxxxx
knok@xxxxx / knok@xxxxx

Index: security.html.ja
===================================================================
RCS file: /storage/tainted-cvs/namazu-web/security.html.ja,v
retrieving revision 1.32
diff -u -r1.32 security.html.ja
--- security.html.ja 4 Aug 2006 15:30:59 -0000 1.32
+++ security.html.ja 8 Sep 2006 08:52:01 -0000
@@ -56,7 +56,8 @@
<li>CGIでは検索結果の最大同時出力数に制限をかけている (デフォルト: 100件)
<li>同時に検索できるインデックスの数に制限をかけている (デフォルト: 64個)
<li>検索は遅くても数秒程度で終わる (正規表現が一番遅い)
-<li>無限ループは起こらないはず (100%とは言えません)
+<li>無限ループは起こらないはず (100%とは言えません:
+ <a href="#resources">リソースの消費</a>参照)
<li>検索式の入力 ('<' や '>', '"' といった記号) によって任意の
HTML タグを出力させることはできないはず (参考:
<a href="#cross-site-scripting">クロスサイトスクリプティング脆弱性</a>)
@@ -66,6 +67,23 @@
<li>バッファが溢れる可能性は否定できません (気をつけてはいますが)
</ul>

+<h2><a name="buffer-overflow">バッファーオーバーフロー</a><h2>
+<p>バッファーオーバーフローは、プログラミング上のバグによって発生する
+もので、外部からの入力によりサーバ、あるいはローカルマシン上で
+任意のコマンドを実行することができてしまう問題を意味します。<br>
+Namazu 2.0.16以前では、テンプレートをカスタマイズすることで
+バッファオーバーフローが発生する可能性がありました。</p>
+<p>Namazu最新版を使うことでこの問題を回避することができますが、
+それ以外にも緊急回避方法がいくつかあげられます。</p>
+<ul>
+ <li>コンパイラの対策オプションを用いる
+ (<a href="http://www.trl.ibm.com/projects/security/ssp/">
+ GCCのSSP</a>: gcc 4.1以降では標準サポート)
+ <li>Linux及びNX bitをサポートするx86系CPUにおいて、
+ <a href="http://en.wikipedia.org/wiki/Exec_Shield">Exec Shield</a>
+ を利用する (Red Hat等、商用Linuxの一部では標準採用)
+</ul>
+
<h2><a name="cross-site-scripting">クロスサイトスクリプティング脆弱性</a></h2>
<p>
クロスサイトスクリプティング (cross-site scripting)
@@ -81,8 +99,8 @@
クロスサイトスクリプティングに関しては以下の情報が参考になります。
</p>
<dl>
- <dt><a href="http://www.ipa.go.jp/security/ciadr/20011023css.html">
-Webサイトにおけるクロスサイトスクリプティング脆弱性に関する情報</a>
+ <dt><a href="http://www.ipa.go.jp/security/ciadr/crword.html">
+ネットワークセキュリティ関連用語集</a>
<dd>(IPA セキュリティセンター)
<dt><a href="http://www.cert.org/advisories/CA-2000-02.html">
CA-2000-02: Malicious HTML Tags Embedded in Client Requests</a>
@@ -153,6 +171,14 @@
正規表現検索そのものも無効にすることもできます(REGEX_SEARCH directive)。</p>
<p>外部に公開するサーバで Namazu を利用する場合は、状況に応じてこれらの値を
設定するようにして下さい。</p>
+<p>Namazu 2.0.16以前のバージョン(具体的にいつからいつまでかは不明)
+には以下の問題がありました。</p>
+<ul>
+ <li>mknmz時において、一太郎 Version 5, 6形式のフィルタに無限ループに陥る
+ (OLEフィルタは影響しない)
+ <li>検索時において、ダブルクオーテーション、スラッシュを検索すると
+ 強調表示時に無限ループに陥る(強調表示を無効にすれば回避できる)
+</ul>


<h2><a name="ole-control">OLE コントロールフィルタに関する注意(Windows限定)</a>
</h2>
_______________________________________________
Namazu-devel-ja mailing list
Namazu-devel-ja@xxxxx
http://www.namazu.org/cgi-bin/mailman/listinfo/namazu-devel-ja

投稿者 xml-rpc : 2006年9月 8日 17:56
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/45705
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。