カテゴリー: 脆弱性

脆弱性に関連する情報を扱いします

BRAVIAでの再生でかくかく動きが時々とまる を　解決

結論は、BRAVIAの2023年3月ころにアップデートされたソフトウェアのバグと推測します。設定で回避できました。

さて、１年以上問題なく使えて動いていたBRAVIAですが、急にときどきとまる事象が発生しました。
hsbox（ホスボックス）のせいじゃないかと濡れ衣を着せられたhsboxですが、予想どおり濡れ衣でした。 hsboxはBRAVIAと組み合わせても何も問題ないのでつかってみてください。話がずれてしまいました。

最初、電波状態が悪いのではないかとアンテナケーブル等を変えてみましたが、並列でつながっているHDDレコーダでの受信は問題ないので、局所的な問題ということは明らかでした。テレビでアンテナレベルと確認すると”60”で、低いかなと思われるレベルですが、テレビの表示では「受信可能範囲内」でした。 念のためテレビにつながっているアンテナケーブルを4K/8K用の最新のものに交換してみましたが、レベルは全く変わりませんでした。 → ある意味予想通り。。。

　ネット検索の結果、次のような情報を発見
https://bbs.kakaku.com/bbs/K0001247735/SortID=24293158/

モーションフローの設定を カスタム → オートに 変更して直ったという情報もみつけた。

モーションフローの設定を確認したところ「オート」になっていた。
これを「オフ」に切り替えて試してみると。
→ かくかく の動きはなくなりました。

以上。

→ これはどうみてもモーションフローのソフトウェアのバグなんじゃないでしょうか。。。　
　　

WordPress5.4.2セキュリティ修正リリース　 　5.2.7も自動適用

　2020/6/10にWordPress5.4.2がリリースされた。これにはセキュリティ修正が含まれている。　修正 https://core.trac.wordpress.org/query?milestone=5.4.2&group=component&col=id&col=summary&col=milestone&col=owner&col=type&col=status&col=priority&order=priority

　このリリースにはセキュリティ修正のほかに強化も含んでいる。5.4系を使っているなら上げるほうがよいだろう。　5.2系は 5.2.7でとりあえずよいのか…。　5.2.6、5.2.7の修正内容は見えない感じです。

パッチはリリースしているのに、修正内容が分からないのはいまいちです..

WordPress5.4.1リリース　 セキュリティ修正を含む　が …　5.2.6も自動適用された

　2020/4/29にWordPress5.4.1がリリースされました。これには7件のセキュリティ修正が含まれています。ただ相変わらず修正内容に関する情報公開がぬるい。修正のほかに強化項目も含まれているので何用のリリースなのか分かりにくい。

■5.4.1での修正内容は

　情報公開で、分かりにくいポイントはいくつかあるが、ぱっと見どれがセキュリティ修正かわからない。NVD、JVNには4/30時点では、まだ情報公開されていないようです。修正内容のほとんどはバグ作り込みが、WP5.4となっています。そして2件の修正対象のバグ作り込みバージョンは5.3となっています。 これはREST APIに関するものです。　この修正では、5.2以前のものはなさそうなので、 5.2系を使っているところは様子見でよさそう。

　REST APIの件がセキュリティ修正かどうかが気になる。　#49648はプロパティのアトリビュートが取れない問題、#49645も同様にREST APIを使ったシーンで情報が取れない問題だ。これは、セキュリティかどうかに関係なくアップデートしておいたほうがよさそうです。　アップデートするとなると気になるのは、5.4や5.4.1で強化された項目の残バグの状況です。　

■残留バグ、つぎの修正の予定は？

すでに5.4.2を作業中のようです。これも強化を含む修正で、5.1で作り込んだバグの修正も含みそうです。　

■それで、どうする？

5.4.1については、　5.3系には適用するのでよいでしょう。　5.2以前は5.4.2が出るのを待つので良いでしょう。5.2は5.2.6が自動適用されました。
それからNVDなどの情報もチェックしましょう。

■追記：5.2.6の内容は？

5.4.1の修正内容ではなく、5.4.2で作業中のテーマの更新を先行して出したようです。WordPressの修正一覧ではマイルストーン、バージョンともに5.2.6はまだ登録されていません。　修正内容もチェックしておきましょう。

WordPress5.4がそろそろリリースされそう。 セキュリティ修正は？

　2019/12/13にWordPress5.3.1 セキュリティパッチがリリースされてから、セキュリティ修正はまだないが、5.4でどうなるかちょっとみてみた。　修正内容の管理も5.4もできている。

■5.4での修正内容は

　今時点で5.4がリリースされるような状況ではない感じがする。　最悪5.4はスキップして、5.5か　という感じさえする。というのは、#49685　など、マイルストーンを5.5としている。修正できたら5.4にセットしなおすのかもしれないが。。。

それから、5.3以前の作り込みバグの修正はなさそうです。いずれも5.4での問題の修正とされている。

■4/2追記：

5.4リリースされていました。
結構クローズされていない状態でリリースされているようだ。　修正内容の項目数は、先日みたときより４倍くらいに増えている。まだまだ修正中という感じですね。となると、5.4.1のリリースもすぐかもしれない。　それから、5.4での強化のいろづけが簡単にできるようになるのはよさそう。。。　でも、大きめの残バグがあるので、5.4へのバージョンアップは修正パッチが出てからにしよう。

・脆弱性

2020年もプラグインがらみの脆弱性が多数報告されている。　プラグインのほうもチェックしておかないと。。。

スパム対策設定の成果

先のスパム設定の成果

設定対策後１ヶ月が経過しました。　先に公開した設定で、検出できなかったスパムは0件でした。　ただ、誤検知、つまり通常の配信メールなのにスパムと判定されたメールが4件ありました。これらは、除外設定で暫定回避して誤検出を抑制しています。

正式な誤検出対策の方法

誤検出を検出されたときに１件づつ除外設定をしなければならないのは面倒です。そこで、誤検出してしまった原因を確認して、その条件を除外することとします。
　DNSの逆引きで、unknownとなった送受信ログがあるものを対象としていますが、メースシステムの送受信でDNSで名前解決をせずに動作しているメールサーバーの存在が原因でした。つまり、メールの送信元がファイアウォール内のイントラネットであって、そこから中継サーバを経てインターネットに送信されています。

普通、メールサーバならイントラネット内でもDNSで名前解決するようにシステム設計するものなのですが、それなりにインターネットサービスをしている企業であっても名前解決・逆引きできないメールサーバがいくつかあります。DNS設定くらいしておいてほしいのですが、そんなことを言っても解決できないので、対処方法を考えてみます。
　　問題はイントラネット内でのUnknownですので、Unknwonが10.ｘ.ｘとか192.168.ｘとかのイントラネットIPなら除外する回避設定を正式対処としてみます。正規表現でUnknownかつ（10.ｘｘ.ｘｘ）でも（192.168.ｘ）でもｘｘｘでもない場合にスパムと判定するように見直します。といっても、メーラのフィルタにこのルールを設定できるのか疑問ですが。

スパム対策設定その後

先のスパム設定の結果と追加対策

対策前の１週間： 対象のスパムなどのメール は 284通。 これは振り分け前なので一部MLも含んでいる。 半数はスパム候補として判定されマークされている。一番対策したかったのは、メーラーやSpamAssassinでスパム判定し漏れてメインのメールボックスに入ってくる新しめ？のスパムでした。 100通/週くらいありました。

対策後の1週間；メインのメールボックスに入るスパムはほぼなくなり、１週間で２，３通でした。スパム判定の下メール内訳は次の通り、
先に追加したスパム判定ルールで検出したスパム：222通。うち、97通はメーラーやSpamAssassinでスパム判定し漏れたものでした。 追加したルールで引っかからず、メーラーやSpamAssassinで検出したものは157通ありました。　
　誤判定がないとは言えませんが、誤判定してしまうような環境から送信されたメールは不要としてしまってもよいかもしれません。数はほとんどないのでどうしても必要ならホワイトリストに入れることで回避できます。　スパムに困っている人は参考にしてください。

スパムメール対策 、おや多いと思ったら設定し漏れ…

最近スパムメールが増えてきたので、設定の見直しをしてみた。いくつかのパターンに分けて対策を試みる。

fromが自分のメールアドレスに偽装されているもの

このパターンは、一目でスパムとわかるので、まとめて削除できるが、事前に何とかならないか設定方法を見直してみる。
　このパターンは、サーバーで拒否してほしい。これは、送信元IPや送信元サーバーのドメインで判断できる。しかし、ここのレンタルサーバサービスでは提供されていない。仕方ないので、メーラで受信後に自動削除してみよう。
　メーラによって設定方法や設定ができるかどうか変わりますが、以下はThunderbirdでの設定方法です。
　ツール→メッセージフィルタ→新規→フィルタ名を入力→条件で”カスタムヘッダ”「Received」 に”次を含む”「.XXXX (unknown」を指定し、 動作に「メッセージ削除」を指定する。
　　この設定で、 *.XXXX ドメインと語るサーバー（本当のドメイン名unknownつまりDNSで逆引きできない）から送信されたメールを削除する。

特定IPからの送信を拒否

特定IPからの送信を拒否するより、送信元のメールアドレスが自分で、送信元のIPが自分以外のものを拒否するほうが効果的だろう。このパターンも レンタルサーバサービスでは拒否方法が提供されていない。同様に、メーラーで削除設定してみよう。上と、同様に
　仕方ないので、メーラで受信後に自動削除してみよう。
　ツール→メッセージフィルタ→新規→フィルタ名を入力→条件でカスタムヘッダ「差出人」に「次を含む」・「自分のメールアドレス」とand条件で「Received」 に「次を含む」、「unknown」を指定し、 動作に「メッセージ削除」を指定する。 「Received」 に「次を含む」、「(unknown」を指定し、 動作に「メッセージ削除」を指定する。※2019/12/26更新 普通にサービスされている正式なものにも意外に送信元名が設定されていないサーバーがあるので、IP逆引きできないものに限定することにした。これだけでも半数以上のスパムを処置できそうです。

以上の設定で、かなりの数のスパムメールが減るハズ。
とりあえず、1週間くらいこれで様子を見てみよう

セキュリティパッチでないのに短期間でWordPress5.3.2がリリース。 5.2系のパッチは？

　WordPress5.3.2が12/18にリリースされた。　5.2.6はリリースされているかは自動適用されていないので不明。5.3.2での修正内容からは5.3.1で作りこまれた致命的なバグとわかります。これが短期間でのリリースの理由でしょう。ないことです。１件のバグ（#48145）は煮え切らない解析の結果、5.3での修正（#45821）の影響で発生していると判断して、修正を行っている。意外にPHP側に問題があり、その問題回避をしているのかもしれない。 いずれにしても、5.3.2は5.3以降に発生した問題の修正なので、これらの対処のために5.2.6がリリースされることはなさそう。 　それから、 分かりにくいが5.2.5が登録されていた。 　
　そのほか5.3.2リリースでは、5.3系のアップデートはこれで終わりで次は5.4とされている。なので、5.3系へのアップデートは様子見とします。
　ただ、5.3.1に上がってしまっている環境については、5.3.2にアップデートすることとします。

■それより、プラグインのパッチは？

　プラグインについては、当てられるものはパッチ適用する。

WordPress5.3.1 セキュリティパッチが出たけど、5.2.5が適用された。

　WordPress5.3.1 セキュリティパッチが12/13にリリースされた。　同時に、5.2.5もリリースされたようだ。5.2.5についてはセキュリティパッチのページには掲載されていない。5.2.5が適用されたことは期待値どおりだが、5.2.5のことが情報公開されていない点がいまいちだ。修正内容の管理も5.3.1は情報があるが、5.2.5の情報がない。相変わらず管理が不十分な感じはぬぐえない。

■で、パッチ適用はどうする？

　手動でのパッチ適用は、5.3.1しかできないようだ。これは5.3.に誘導する策略なのかと違ってしまうが、、、。　まずは、テストサイトで5.3.1の検証を行う。そこで、問題が無ければ、ほかの本番系サイトにも適用していく流れにするしかなさそうだ。…..　　困ったものだ。

WordPress5.3はとりあえず様子見

　WordPress5.3が11/12にリリースされたので、別に構築したWordPress検証サイトで動作確認しています。

■更新する際に留意しておきたい点

　WordPress5.3へコンテンツの更新を行った後に、DBの更新が行われる。DB構成が更新されていそうです。どこが更新されたのかは、ぱっと見ではわかりません。
　→　更新でトラブルが発生した場合、書き戻しするにはDBの書き戻しも必要となる。更新＆検証の際には、切り戻し時間にDB書き戻し時間も考慮しておく必要がある。当然だが、更新直前にDBデータのバックアップを行う時間も考慮しておく必要がある。

■WordPress5.3での変更点の確認

　エディタ機能が強化された。　　メニューに「ブロックのグループ化 」が追加されています。　
　全体的にはあまり大きな強化や変更はない。急いで更新したいというものはない。また、更新に関して、問題も特に問題はなかった。そのため、とりあえず5.3の適用は保留し、今後提供されると推測されるセキュリティパッチがで提供されたタイミングで更新することにする。