[freewnn:01001] FreeWnn JServer Logging Option Data Corruption Vulnerability (?)

[aono@XXXX]

たびたびすみません。青野です。

Web検索で見つけてしまったのですが、
http://www.securityfocus.com/bid/7918 なんてことをいわれて
るようです。私の(乏しい)理解力を持ってすれば、jserverの -s 
オプションに任意のファイルを指定し、wddel -nオプション(環
境名なんですね)にそれらしい内容を書けば/etc/shadow も上書
きできますよ、ということらしいです。

Mandrake-9.1のFreeWnnパッケージで起きる現象だと報告してい
るようですが、本来のインストールであれば(ユーザwnnに
setuid) /etc/shadowになんか書き込めるわけがないのですが…。
後者のほうは気になるので試してみたいところですが。
＃見ていませんが、rootにsetuidなんてことしているのでしょうか。

で、たびたびML管理者の方々にお手数かけるのですが、「A
vulnerability has been reported for FreeWnn」とかおっしゃっ
ているので、もし届いていたら(差し支えない範囲で)お見せいた
だけますか。

ところで(メンバー以外からの投稿を再び許可する代わりに)
SpamAssassinなんかと併用して管理者の負荷を下げるとか考えな
いといけないでしょうか。仕事的にも少し気になっているもので
ちょっとは調べているのですが、なかなかそのものずばりという
例が見つかりませんね。

＃Googleで引っ掛けた例:
＃http://kuru.jp/index.php?%5B%5Bfml%A4%C8spamassasin%A4%CE%CF%A2%B7%C8%5D%5D
＃http://www.mew.org/ml/mew-win32-2.0/msg00514.html (その
＃MLではなく、emacs-w3m MLの話です)
----
青野智樹	(aono@XXXX)
Personal opinion only..