[Momonga-devel.ja:02746] Momonga Linux Status Report (2004/8/28-9/4)
- From: KOMATSU Shinichiro <koma2@xxxxxxxxxxxxxxxx>
- Date: Tue, 7 Sep 2004 00:43:27 +0900
小松です。
先週分(2004/8/28-9/4)の Momonga Linux Status Report を流します。
今回は security hole の fix がいつもより多めです。
以前書いたように、wiki の方は凍結してあるわけではないので
今後更新される可能性もあります。
あくまで現時点での snapshot と思って下さい。
最新のものは
http://developer.momonga-linux.org/wiki/?StatusReport-20040904
を参照して下さい。
-----------------------------------------------------------------
!Momonga Linux Status Report (2004/08/28〜2004/09/04)
2004年08月28日(土)から2004年9月4日(土)までの変更点です
(rev.2932〜3022)。
!!Security Fix
!!!zlib 1.2.x Denial of Service Vulnerability
zlib 1.2.x の inflate(), inflateBack() でのエラー処理に欠陥があり、
DoS 攻撃を行うことが可能となっていました。
zlib-1.2.1-2m でこの脆弱性が修正されています。
詳細:
*http://www.openpkg.org/security/OpenPKG-SA-2004.038-zlib.html
*[[CVE:CAN-2004-0797]]
!!!kdelibs
KDE <= 3.2.3 の Konqueror において、
同じドメインの他のサイトに cookie を送信できてしまう
脆弱性が見付かりました。
詳細:
*http://www.kde.org/info/security/advisory-20040823-1.txt
*[[CVE:CAN-2004-0746]]
!!!imlib
imlib <= 1.9.14 の BMPファイルの扱いに問題があり、
問題のある BMP ファイルを読ませると DoS させることができる
脆弱性が見付かりました。
この脆弱性により、任意のコードが実行できる可能性も指摘されています。
詳細:
* http://bugzilla.gnome.org/show_bug.cgi?id=151034
* http://www.securityfocus.com/bid/11084/
*[[CVE:CAN-2004-0817]]
!!!samba
samba < 3.0.6 には、
リモートの認証されたユーザーが
FindFirstPrintChangeNotify() を送らずに
FindNextPrintChangeNotify() を送ることにより、
smbd をクラッシュさせることのできる脆弱性があります。
この脆弱性が修正された samba-3.0.6 が commit されました。
詳細:
*http://www.securityfocus.com/archive/1/373619/2004-08-26/2004-09-01/0
*http://www.securityfocus.com/bid/11055
!!!gaim
gaim < 0.82 に
リモートから DoS 攻撃をしたり、
任意のコマンドを実行したりすることができる
複数の脆弱性があります。
この脆弱性が修正された gaim-0.82.1 が commit されました。
詳細:
* http://gaim.sourceforge.net/security/
* [[CVE:CAN-2004-0500]] [[CVE:CAN-2004-0784]] [[CVE:CAN-2004-0785]]
!!!mutt
メールメッセージ中に「A^HAB^HB」(^H はバックスペース) のような文字列があると、
「AB」という文字列が強調表現か bold の色で表示されます。
これを使って署名済みメッセージであるかのように見せかけるなら、
不注意な人は騙されてしまうかもしれません。
/usr/share/config-sample/dot.muttrc 中の設定で、
bold の色を normal と同じにしました。
allow_ansi 設定変数では無効にすることができませんのでご注意ください。
詳細:
* http://securityfocus.com/bid/10929/
!!!rsync(STABLE_1)
trunk の rsync の security fix が STABLE_1 に merge されました。
詳細は [[StatusReport-20040821]] を参照して下さい。
!!重要な更新
!!!kernel(2.6)
8/26 に kernel パッケージが 2.6系になりましたが
([[StatusReport-20040828]]参照)、
それに伴なう修正が続いています。
まず、kernel 2.6系を使うには initscripts >= 7.55
である必要があるので([[StatusReport-20040828]]参照)、
Requires: initscripts >= 7.55 が追加されました。
CONFIG_REISERFS_CHECK が set されていたため、
Reiserfs でディスクアクセスが遅くなっていたのを
修正しました。{{devel_ja(2738)}}
config-generic に CONFIG_USB_KBD=m, CONFIG_USB_MOUSE=m
が追加されました。
config-x86-generic から APM まわりの設定をすべて削除しました。
{{devel_ja(2743)}}
pppとrp-pppoeをビルドするようにパッチを追加しました。
!!!quickml
configure部に --with-user=quickml --with-group=quickml を追加しました。
またquickmlがchkconfig的には起動しない設定なっているにもかかわらず、
logrotateが勝手に再起動するようになっていました。
対策として、condrestartを追加定義、
/etc/logrotate.d/quickmlのnoreplaceを一時的に外しています。
STABLE_1にmergeするためには、chkconfigでonになっている場合は
再起動するように調整する必要があります。
!!!kernel(2.4) 2.4.27-4m(STABLE_1)
trunkでのSATAを使える変更が STABLE_1 にも merge されました。
!!!kazehakase(STABLE_1)
kazehakase 0.1.9 が STABLE_1 にも merge されました。
!!toolsの更新
!!!OmoiKondara
エラーメッセージの改良
!!追加されたパッケージ
!!!acl
一般ユーザでも精密なアクセス制限をおこなえるようにする POSIX ACL のコマンドラインツール群。
たとえばファイルを httpd にだけ読めるようにしたいとき、chown する必要がありません。
ただし、ファイルシステムが対応していないと使えません。
!!更新されたパッケージ
!!!gnupg 1.2.4 -> 1.2.6 (rev. 2968)
keyring は更新中に一瞬消えますがロックを使っていなかったため、別プロセスの gnupg が keyring をダメにしてしまう危険性があったようです。(間違っているかも)
!!!mutt (version 変わらず) (rev. 2973)
IMAP ヘッダキャッシュに対応しました。
なお、キャッシュのデータベースを db4 から gdbm に変更しました。
パッチ作者が gdbm を推奨しているためです。
==(set header_cache=... で指定している db を作り直す必要アリ?)==
→読んでみて正しいデータが取り出せなければ作り直してくれるのではないかと思います。(tamo)
!!!kernel2.6.8.1対策の変更
avifile、ffmpeg、intersync、kino
skkinput、xfig、xfm、wireless-tools、util-linux, net-tools
!!!DirectFB関係の更新
SDL、SDL_image、SDL_mixer、SDL_net、SDL_ttf、
Maelstrom、armagetron、avifile、bochs、mjpegtools、
mplayer、tvtime、xmms-goom、blender、gnomemeeting、kdeaddons
!!!gcc34の変更
gcc34、binutils、
mplayer、synaptic、vic、xmovie、koffice、libtool、mod_fastcgi、mod_limitipconn、abiword、kdegraphics、armagetron、chasen、ebdic
!!!その他
* aspell, aspell-en,aspell-fr: 0.50.5 -> 0.60
* elisp-mew: 4.0.65 -> 4.0.68
* gengetopt
** 2.12.1 -> 2.12.2
** From NEWS: "removed segfaults in multiple option handling"
* hiki: いくつかのバグを修正
* hotplug: 2003_05_01 -> 2004_03_29
* kazehakase: 0.1.8.1 -> 0.1.9
* kita: 0.170.0-0.20040827 -> 0.170.0-0.20040902
* libidn
** 0.4.9 -> 0.5.4
** From NEWS:
*** Fix crash in `idn --tld' command line tool.
*** Functions to detect "normalization problem sequences" as per PR-29 added.
** ja.po 追加
* libvorbis, vorbis-tools: 1.0 -> 1.0.1
* m4: 1.4 -> 1.4.2
* nfs-utils: 1.0.3 -> 1.0.6
* nmap: 3.55 -> 3.70
* pdumpfs: 1.0 -> 1.2
* prelink-20031209 -> 20040520
* ruby-mysql: 2.4.5 -> 2.5
* ruby-rttool: ソースのmd5sumを更新
* suikyo: 1.3.2 -> 1.3.3
* utils-linux
** 2.11z -> 2.12b
** util-linux-2.12b と conflict しないように man-pages-ja を修正
* vim: 6.3.4 -> 6.3.20
* xemacs-sumo
** /bin/zshがrequireされるのを避けるため、chmod -x mkChangeLog.upstreamした。
** elisp-rieceと内容が被るため、rieceを削除。
!!!perlink対応の修正
jaming, gpm
!!webの更新
!!!Momonga Linux 検索 ( http://www.momonga-linux.org/cgi-bin/namazu.cgi?lang=ja )
「ソート: 日付 (新しい順)」での検索結果が一部不正確になる可能性がありましたが、修正されました。