Sendmailの一部のバージョンにトロイの木馬、9月28日以降のバージョンに注意

■URL
http://www.cert.org/advisories/CA-2002-28.html
http://www.sendmail.org/

CERTのトロイの木馬を警告しているサイト

　CERTは8日、Sendmailが配布した一部のバージョンにトロイの木馬が含まれていることを正式に確認し、利用者に警告を促すアドバイザリー「CA-2002-28」を発行した。CERTでは、Sendmailのパッケージを利用あるいはミラーしているサイトに対して、トロイの木馬が含まれているかどうかを確認するためにも、PGP署名やMD5チェックサムを調べるように求めている。

　今年8月にも同じような事例として、OpenSSHの一部のバージョンにトロイの木馬が仕組まれるという事件が発生しており、利用者は関係機関の警告に継続的に注意を払う必要性が生じている。

　トロイの木馬が含まれている可能性があるバージョンは以下の通り。

• sendmail.8.12.6.tar.z
• sendmail.8.12.6.tar.gz

　これらのバージョンに含まれている可能性のあるトロイの木馬は、TCPポート6667を開け、遠隔地にいる侵入者がSendmailをビルドしたユーザーの権限でシェルを実行できるようにするものだ。

　これら改ざんされたSendmailのバージョンは、SendmailのFTPサーバーftp.sendmail.orgにおいて、9月28日頃から出回っていた模様だ。Sendmailの開発チームでは、この改ざんされたFTPサーバーを10月6日20時15分(PDT)に閉鎖すると同時に、利用者に対してPGP署名、MD5チェックサムの確認を行なうよう求めている。また、同時期にHTTPで配布されていたSendmailのバージョンにはトロイの木馬は含まれていない模様だが、念のためこの時期にHTTPでソースコードをダウンロードしたユーザーに対しても、そのバージョンが改ざんされていないか確認するようにCERTは警告している。

　CERTでは、ダウンロードしたSendmailが改ざんされていないことを確認する二つの方法を挙げている。一つはPGP署名を検証することだ。侵入者はPGP署名を改ざんすることに失敗した模様で、トロイの木馬が含まれているSendmailには正しいPGP署名がされておらず、PGP署名の検証に失敗するという。

　また、PGP署名の検証ができない場合は、MD5チェックサムを確認するよう勧めている。正しいMD5チェックサムは、CERTのアドバイザリーに記載されているので、それと比較することにより確認ができる。さらに被害を食い止めるため、TCPポート6667のアウトバウンド接続を禁止することによって、自分のシステムを侵入者にコントロールされることを防ぐことも可能だ。

　CERTでは、このようなトロイの木馬を含んだファイルを入手しないための注意点として、「信頼されていないサイトからソースコードをダウンロードしないこと」や「配布されるファイルのタイムスタンプやファイルサイズをもとに判断して信頼しないこと」などを挙げている。

◎関連記事
■セキュアシェル「OpenSSH」3.4p1などにトロイの木馬が埋め込まれる

(2002/10/9)

[Reported by 青木 大我 (taiga@scientist.com)]