セキュリティーと NetBSD
NetBSDプロジェクトはセキュリティーに対して、 システムの他の部分にするのと同じアプローチを採用しています: 解決でありハックではありません。 NetBSDのセキュリティー問題は、 NetBSD セキュリティーオフィサー、 および NetBSD セキュリティー警告チーム によって取り扱われます。 NetBSDセキュリティー警告チームは、 新たに報告されたセキュリティー問題に対応して、 調査はもちろん、文書化、コードの更新を行います。 またチームは、潜在的なセキュリティー問題を捜し出して除去するために、 定期的なコードの検査を行っています。
NetBSD には Kerberos 5 (Heimdal)、SSH (OpenSSH) が統合されており、 また、 IPv4 および IPv6 双方で IPsec を完全にサポートしています。 加えて、あらゆるサービスは デフォルトで最も安全な設定になっており、新規インストールでは 安全でないサービスはデフォルトでは使えなくなっています。
NetBSD に深刻なセキュリティー問題が発見され修正されると、 問題の記述と修正法へのポインターを含んだ、 セキュリティー勧告を発行します。 これらは netbsd-announce メーリングリストおよび security-announce メーリングリストや、 その他のメーリングリストおよび web サイトでアナウンスされます。 さらに、このサイトに保管されるほか、 RSS フィードでも提供されます。
訳註: いくつかのセキュリティー勧告には、 www.NetBSD.org 翻訳プロジェクト による日本語訳が存在します。 この翻訳は以下のリンクから読むことができますが、 announce-ja@jp.NetBSD.org にも配送されます。 ただし、これらは翻訳プロジェクトが参考のために提供するもので、 翻訳者および翻訳プロジェクトは、その内容についていかなる保証もいたしません。
日本語訳についてのお問い合わせは、 www-changes-ja@jp.NetBSD.org までお願いします。 原文は PGP 署名されていますが、この日本語訳は PGP 署名されていません。 修正パッチ等の内容が改竄されていないことを確認するために PGP 署名の チェックを行なうには、原文を参照してください。
NetBSD リリース別の勧告一覧:
- NetBSD-SA2008-008 OpenSSL と Montgomery 乗算
- NetBSD-SA2008-007 OpenSSL の複数の問題
- NetBSD-SA2008-006 strfmon(3) 関数の整数オーバーフロー
- NetBSD-SA2008-005 OpenSSH の複数の問題
- NetBSD-SA2008-004 bzip2(1) の複数の問題
- NetBSD-SA2008-003 IPv6 の IPsec におけるサービス不能攻撃
- NetBSD-SA2008-002 fast_ipsec(4) におけるエンディアンネスの問題
- NetBSD-SA2008-001 file(1) の整数オーバーフロー
- NetBSD-SA2007-007 BIND の暗号的に弱い問い合わせ ID
- NetBSD-SA2007-006 ローカル・ユーザーによるディスプレイドライバーの panic
- NetBSD-SA2007-005 IPv6 Type 0 ルーティングヘッダー
- NetBSD-SA2007-004 iso(4) における不十分な長さチェック
- NetBSD-SA2007-003 BIND の複数のサービス妨害の脆弱性
- NetBSD-SA2007-002 Render および DBE 拡張の整数桁溢れ
- NetBSD-SA2007-001 ktruser() の整数桁溢れ
- NetBSD-SA2006-027 libc glob(3) のバッファーオーバーフロー
- NetBSD-SA2006-026 複数のサービス不能攻撃問題
- NetBSD-SA2006-025 複数の情報・メモリー漏洩問題
- NetBSD-SA2006-024 systrace(4) の整数オーバーフロー
- NetBSD-SA2006-023 OpenSSL の RSA 署名偽造
- NetBSD-SA2006-022 BIND の再帰問い合わせと SIG 問い合わせの処理
- NetBSD-SA2006-021 CID キーによるフォントの解析 (処理) で整数オーバーフロー
- NetBSD-SA2006-020 PCF フォントの解析 (処理) で整数オーバーフロー
- NetBSD-SA2006-019 悪意ある PPP オプションによるカーネルのバッファーオーバーランの可能性
- NetBSD-SA2006-018 sail(6), dm(8), tetris(6) のバッファーオーバーフロー
- NetBSD-SA2006-017 sendmail における特殊なマルチパート MIME メッセージの問題 (日本語訳)
- NetBSD-SA2006-016 IPv6 ソケットのオプションがシステムクラッシュを引き起こす可能性 (日本語訳)
- NetBSD-SA2006-015 AMD CPU の i386/amd64/Xen プラットフォームで FPU の情報漏洩 (日本語訳)
- NetBSD-SA2006-014 オーディオサブシステムの競合状態によるシステムクラッシュの可能性
- NetBSD-SA2006-013 sysctl(3) によるローカルサービス不能攻撃
- NetBSD-SA2006-012 ioctl の SIOCGIFALIAS によるシステムクラッシュを引き起こす可能性
- NetBSD-SA2006-011 IPSec の再現攻撃
- NetBSD-SA2006-010 sendmail の競合状態
- NetBSD-SA2006-009 Intel のハードウェア RNG の誤検出
- NetBSD-SA2006-008 不正な ELF インタープリターがシステムのクラッシュを起こす問題
- NetBSD-SA2006-007 mail(1) が記録ファイルを安全でない umask で作成する問題
- NetBSD-SA2006-005 bridge のメモリー漏洩
- NetBSD-SA2006-004 pf のサービス不能攻撃問題
- NetBSD-SA2006-003 racoon の複数のサービス不能攻撃問題
- NetBSD-SA2006-002 settimeofday() の時刻の巻き戻し
- NetBSD-SA2006-001 kernfs のカーネルメモリー漏洩
完全なリストは 勧告アーカイブを参照してください。
場合によっては、セキュリティー問題が NetBSD-current に見つかり、 すぐに解決する場合があります。そのような問題は多くの場合、短命で、 NetBSD リリースにまったく影響しません。 この場合、我々は NetBSD-current に対する特別なパッチや勧告はリリースしません。その代わり、 修正を含んだバージョンに更新することを勧めます。 修正された日付は上記の勧告 を参照してください。セキュリティー問題が NetBSD-current だけに影響するとわかった場合、 NetBSD セキュリティーオフィサー チームは、その問題および何を更新する必要があるかを詳しく説明したメールを current-users メーリングリストに送ります。 このような問題に気づくことができるよう、NetBSD-current を使っている方は、current-users メーリングリストに参加することをおすすめします。 NetBSD-current を追跡している方は、 既知の問題を解決するほか、新機能を使えるようにするため、 システムをまめに更新するようにしてください。
NetBSDプロジェクトは、二つのセキュリティーに関する連絡ポイントを持っています:
- tech-security メーリングリストは、NetBSDのセキュリティーに関する問題を議論するための 公開されたフォーラムです。
-
<security-alert@NetBSD.org>に電子メールを送ることによって、 直接NetBSDプロジェクトにセキュリティー問題について 問い合わせることができます。
NetBSDにおけるセキュリティー問題をレポートする方法として、
NetBSDセキュリティー警告チーム
<security-alert@NetBSD.org> に連絡する方法と、
障害報告フォーム
もしくはNetBSDシステム上の send-pr(1) プログラムを
使用して標準的なNetBSD障害レポートを送る方法があります。
機密扱いの情報は、NetBSDセキュリティーオフィサーの PGPキーを使って、 暗号化するべきです。
すべての発表された NetBSD セキュリティーパッチは、NetBSDプロジェクトの FTP serverの security/patches/ ディレクトリーから入手可能です。
NetBSD パッケージ コレクションを使うと、数多くのサードパーティー製のアプリケーションの ソースまたはバイナリーインストールが容易にできます。 サードパーティー製のソフトウェアにはしばしばバグがありうること、そして、 バグによってはマシンを権限奪取の危機にさらしうることを忘れてはいけません。 このようなことに対処するため、 NetBSD では、インストール済パッケージの 既知の脆弱性を容易に検証する方法を提供しています。
NetBSD pkgsrc セキュリティーチーム とパッケージのメンテナーは、 pkgsrc に含まれる (あるいは含まれていた) パッケージの既知の脆弱性のリストを 保守しています。このリストは、以下の NetBSD FTP サイトから入手できます:
audit-packages を使うと、 このリストを自動的にダウンロードし、 システムにインストールされているパッケージすべてについて セキュリティー検証をすることができます。
audit-packages は、ふたつの部分からできています。 ひとつは download-vulnerability-list で、 NetBSD FTP サイトから 脆弱性のリストをダウンロードするものです。もうひとつは audit-packages で、インストールされているパッケージに脆弱性が ないかどうか検証するものです。脆弱性のあるパッケージがあった場合、 次のように出力してくれます:
Package samba-2.0.9 has a local-root-shell vulnerability, see http://www.samba.org/samba/whatsnew/macroexploit.html
audit-packages では、pkg-vulnerabilities ファイルを毎日ダウンロードして、さらに、パッケージの検証を daily security script で行なうように設定することができます。 これについての詳細は、 pkg_install の MESSAGE ファイルに書かれています。
pkgsrc のソフトウェアパッケージに audit-packages で検出されないセキュリティー問題があるとお気づきになったら、pkgsrc セキュリティーチームまでご連絡ください。
2007 年 4 月、security/audit-packages パッケージのもつ機能が C で書き直され、pkg_install パッケージに統合されました。 これにより、従前の security/audit-packages パッケージにくらべ、 速度と機能の両面で、多くの改良がなされました。 2008 年 1 月、security/audit-packages パッケージが pkgsrc の CVS ツリーから削除されるとともに、 security/audit-packages パッケージの機能を置き換えられるようにするため、 必要な pkg_install のバージョンが pkg_install-20071224 に上がりました。 これに伴う移行の手順は、ほとんどの利用者が簡単にできるものとなっており、 単に古いパッケージを削除 (pkg_delete audit-packages) してから、 pkg_install を更新するだけです。 pkgtools/pkg_install と security/audit-packages のインストールでは衝突するファイルがあるため、 この順序を守ってください。 さらに、従来のバイナリー (audit-packages および download-vulnerability-list) を参照しているスクリプト (たとえば crontab(5) ファイルや、security.local など) も、 すべて更新する必要があります。
pkg_install-20071224 へ今すぐ移行できず、 security/audit-packages を使い続ける必要がある方のために、pkgsrc セキュリティーチームでは、 少なくとも pkgsrc-2008Q1 枝が作成されるまでの間は、 pkg-vulnerabilities データベースの更新を続ける予定です。 security/audit-packages のサポートが完全に終わったときには、 旧来の pkg-vulnerabilities データベースを、 もはや更新されない旨をあらわすものに更新します。 そのときには、その後の pkg-vulnerabilities データベースの更新を受け取るために、 pkg_install>=20071224 への更新をするようにしてください。
この移行に関して、質問や問題などがありましたら、 pkgsrc Security Team または適切な NetBSD メーリングリスト (たとえば pkgsrc-users や tech-pkg) のいずれかへご連絡ください。
多くのセキュリティー勧告、および他のセキュリティーリソースは、 これらのサイトでオンラインに利用できます: