こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
06/06/2018にセキュリティ企業SnykからZip Slip Vulnerability(Zip Slip 脆弱性)が公開されました。この脆弱性では、npm, tar, jar, rarなど非常に多くの種類の、圧縮形式を取っているソフトウェア実装で問題が見つかっています。今回は、このZip Slip 脆弱性を簡単に見ていきます。
情報が未だ錯綜していますので、逐次情報は更新していく予定です。
Zip Slipの問題
Zip Slipは、アーカイブファイルの展開処理での問題から、ディレクトリトラバーサルが発生し、(展開したプロセスの権限で)任意のファイルを上書きできる問題になります。
PoC(動画)
Zip Slipの情報源から、実際に脆弱性を突いた状況の動画が公開されています。Zip Slip Live Exploit
修正方法
各ディストリビューションの情報を確認してください。
関連するCVE
パッケージ類
プロジェクト
主なディストリビューションの対応状況
詳細は、各ディストリビューションの提供元にご確認ください
Debian
Red Hat Enterprise Linux/CentOS
Ubuntu
SUSE/openSUSE
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。
セキュリティ系連載案内
OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
セミナー情報 1
2018年10月22日から10月25日のCSS(Computer Security Symposium)2018で、「OSSセキュリティ技術ワークショップ(OWS) 2018特別セッション」 と題しまして、OSSセキュリティ技術の会後援で特別セッションを開催します。
https://www.iwsec.org/ows/2018/index.htmlにプログラム内容と一般論文申し込みの詳細を載せていきますので、是非御確認下さい(ページは更新中です)。
セミナー情報 2
2018年8月6日に「OSSセキュリティ技術の会 座談会(第一回)」を開催します。OSSセキュリティ技術の会では、講演形式の勉強会シリーズを行っていますが、今回は新たな試みとして座談会形式の会合を行います。
https://secureoss-sig.connpass.com/event/92782/にプログラム内容と申し込みの詳細を載せていますので、是非御参加下さい。
