情報処理推進機構：情報セキュリティ：CVSサーバーのバッファオーバーフローの脆弱性について

情報セキュリティ

最終更新日：2004年 6月10日

※追記すべき情報がある場合には、その都度このページを更新する予定です。

6月9日に追加で新たな脆弱性情報が公開されました。

CVS (Concurrent Versions System) のリリース1.11.16以前および1.12.8以前に複数の脆弱性があり、リモートからの攻撃者に任意のコードを実行される可能性があります。

この脆弱性を攻略するプログラムが出現していますので、至急、修正プログラムを適用して、この脆弱性を解消してください。

修正プログラムの適用もしくは修正済みパッケージへの更新

使用している OS のベンダが提供している修正プログラムを適用するか、修正済みのパッケージに更新してください。
また、CVS をversion 1.11.17 もしくは 1.12.9 に更新することでも解決できます。

－－－－－－ここから6月8日までに掲載した内容－－－－－－－－－－－－－－

ソフトウェア開発プロジェクトにおいて、コードを公開・共有する手段として広く利用されている CVS (Concurrent Versions System) サーバーにバッファオーバーフローの脆弱性があり、リモートからの攻撃者に任意のコードを実行される可能性があります。

この脆弱性を攻略するプログラムが出現していますので、至急、修正プログラムを適用して、この脆弱性を解消してください。

注：本件のバッファオーバーフローの脆弱性は、オペレーティングシステムのメモリ管理上、動的に確保されるヒープ領域についてのものであるので、「ヒープオーバーフロー（heap overflow）」と表現されることがあります。

修正プログラムの適用もしくは修正済みパッケージへの更新

使用している OS のベンダが提供している修正プログラムを適用するか、修正済みのパッケージに更新してください。
また、CVS をversion 1.11.16 もしくは 1.12.8 に更新することでも解決できます。

CVS サーバーを停止する
修正プログラムを適用するまで CVS サーバーを停止することを検討してください。
CVS サーバーへのアクセスを遮断もしくは制限する
信頼できないホストやネットワークからの CVS サーバーへのアクセスを遮断もしくは制限してください。CVS サーバーは通常2401/tcp を使用しますが、他のポートやプロトコルを使用している場合もあります。
CVS サーバーの操作権限を制限する
- CVSサーバーを(chrootにより)制限された環境で実行するように設定してください。
- CVSサーバーをホストのファイルシステムで最低限必要な権限で実行するようにしてください。
- 開発用システム（書き込みあり）と公開／匿名アクセスのシステム（読み込みのみ）を分けてください。
- 公開／匿名のCVSサーバーは、単一目的のセキュアなシステムにホストしてください。

これらの回避策のいくつかは、可能性のある攻撃の範囲や影響を一部しか制限しないことに注意してください。