🚀 go-pugleaf

fj.comp.security や fj.questions.unix あたりで
すでに公表していますが、ソニー製仮名漢字変換システム
sj3 のサーバである sj3serv に深刻なセキュリティバグが
あります。

悪意を持ったユーザが不正な操作を行なった場合、
sj3serv が動作しているマシンの root 権限を取得することが
可能です。

OS や sj3 のバージョンには非依存であると思われます。

開発者の方からは既に対策を立てる旨のメールを頂いておりますが、
正式リリースがなされるまでの繋ぎとしてsj3-2.0.1.19 に対しての
クイックパッチをポストします。

クライアントのほうには手を加えずに済むように配慮しましたが、
Mule 以外の環境では試していません。


--
株式会社インフォーコム 札幌支店
開発事業部 主任
邑中 雅樹
-----------------------------------------------------------
diff -r -c sj3-2.0.1.19.old/server/execute.c sj3-2.0.1.19/server/execute.c
*** sj3-2.0.1.19.old/server/execute.c	Tue Jul 18 16:13:39 1995
--- sj3-2.0.1.19/server/execute.c	Mon Mar 23 10:04:27 1998
***************
*** 96,104 ****
  {
  	char	tmp[PathNameLen];
  	int	i;
  
! 	if (*path == '/') return 0;
! 	i = strlen(dict_dir) + 1 + strlen(path) + 1;
  	if (i > sizeof(tmp)) return ERROR;
  	strcpy(tmp, dict_dir);
  	strcat(tmp, "/");
--- 96,117 ----
  {
  	char	tmp[PathNameLen];
  	int	i;
+ 	int	path_len;
+ 	int	dict_dir_path_len;
  
! 	/* modified by MURANAKA Masaki (monaka@inforcom.co.jp)
! 	** for avoid pass word crack.
! 	*/
! 	path_len = strlen(path);
! 	if (path_len >= 2) {
! 		if (*path == '.' && *(path + 1) == '.') return ERROR;
! 	}
! 	if (*path == '/') {
! 		dict_dir_path_len = strlen(dict_dir);
! 		if (strncmp(path, dict_dir, dict_dir_path_len))	return ERROR;
! 		else return 0;
! 	}
! 	i = strlen(dict_dir) + 1 + path_len + 1;
  	if (i > sizeof(tmp)) return ERROR;
  	strcpy(tmp, dict_dir);
  	strcat(tmp, "/");
***************
*** 1353,1358 ****
--- 1366,1372 ----
  	int	i;
  
  	i = get_nstring(path, sizeof(path));
+ 
  	if (i) longjmp(error_ret, SJ3_TooLongParameter);
  	if (make_full_path(path)) longjmp(error_ret, SJ3_TooLongParameter);