ソースコード管理システム『CVS』にまた脆弱性

この記事のURLhttp://japan.internet.com/webtech/20040611/11.html

開発者の間で広く利用されている主要オープンソースコード管理ツールのひとつ『Concurrent Versions System』(CVS) に、複数のセキュリティ脆弱性が見つかった。しかし、プロジェクト管理団体が9日、それら脆弱性を修正ずみの最新バージョンを公開した。

CVS は今や、オープンソースの開発コミュニティにおいて、標準的なソフトウェア構成管理 (SCM) システムになっている。CVS を使うと、バージョン衝突なしに、コラボレーションできる。そして、ソースコードの現行バージョンはもとより、これまでに行なわれた全ての変更についての記録を、変更者に関するものも含め、保存できる利点がある。

先月末にも、CVS には悪意ある攻撃者に任意のコード実行を許しかねない脆弱性が見つかっていた。セキュリティ専門家たちはこのとき、同脆弱性の危険度を「重大」として勧告を発表。それを受けて、修正パッチが公開された経緯がある。

しかし、その後さらに複数の脆弱性が見つかった。そのひとつは、NULL ターミネータが失われかねない脆弱性。他は、「error_prog_name」ストリングに関するもの、整数オーバーフローの問題、「serv_notify」コードにからむ問題などだった。

これらの脆弱性を突いた場合、攻撃者が、任意のコードやコマンドを実行する、機密情報を読む、あるいはサービス不能化 (DoS) 攻撃をしかけることが、理論的にあり得る。そして、閲覧に限ったアクセス権しか持たない匿名ユーザーが、未修正サーバー上の脆弱性を突く可能性さえある。

CVS プロジェクトの管理団体は、これら脆弱性を修正した新バージョン『CVS 1.12.9 』と『CVS 1.11.7』、および、ほぼ全ての主要 Linux ディストリビューション用バイナリを、公開している。