[plamo:15172] Re: zlib-1.1.4

[YAMAGUCHI Shingo]

山口@金沢市 です。

本題には乗り遅れてしまったので横道にそれてみます。

<OE51LOLWCpz8S4vlIHH0000a2f8@hotmail.com>の記事において
Tadashi Nakamuraさんは書きました。

> > まず ML に聞く前から、google や ML の過去ログ検索で調べてからの方がよ
> > いかと思われます。そうすると色々怒られない様です ;-P
> 
> 言い訳になりますが、今回も探しあぐねて ML に投稿しておりますが
> 検索のときの Keyword の選択がポイントなのだと思います。
> Compression を Keyword にして探したら、一発でした。

確かに、検索サイトでどのキーワードを使って検索したらいいか
というのは(インターネットや該当分野に関しての)経験の浅い人に
とっては特に難しいようです。
# 大学で入学したての人達を見てて感じました
## この辺の状況を改善しようという研究をしてる後輩もいたな...

で、ヒット率を上げるためには単語を選ぶことも大切ですが、
検索対象の分野が限定されていることも重要です。

ということで、

  * Plamo ML の検索
    http://www.linet.jp/Plamo/ml.html
    過去に事例があれば高い確率でヒットします

  * Google で Linux 限定検索
    http://www.google.com/linux
    Linux 限定で検索できるのでノイズが少なくなります
    URL で linux の後に / をつけないのが重要
    親戚で bsd とか mac とかもあります

をお薦めしておきます。

で、怒る怒らないという話がありますが、Plamo に参加されている
かたは比較的古参の方が多いので、

  タコは育てよ

の精神でアドバイスを与えつつ、自力で解決できるよう見守ると
いう古きよき Linux コミュニティの伝統が守られているのでは
ないかな〜っと個人的には思います。
# アドバイスを聞いた後解決して、何も結果報告がないと、アドバイス
# した人はどうなったのか不安になっているものです

という私も Slackware+PJE 生まれで Plamo 育ちのタコなんですが...

> > よいと思いますが、ライブラリが関係する他のバイナリの recompile が必要
> > ですよ。
> 
> この場合は、
> openssl-0.9.6g.tar.gz を解凍、make, install の後で
> openssh-3.4p1.tar.gz を解凍、make, install ということでいいんですよね。
> まさか、kernel も Recompile が必要っていうことはありませんね。

OpenSSL, OpenSSH の話は出ているので、Subject の zlib の話を
しますと、1.1.3 には double free のバグ(開放したメモリ領域を
再び開放しようとすると何が起こるかわからない)があり、1.1.4 を
使いましょうということになっており、1.1.4 を入れて 1.1.3 を
削除すればとりあえず OK のようにみえるのですが、

  shared ライブラリ(実行時にリンクするライブラリ) や
  dynamic load ライブラリ(実行時にロードするライブラリ) はいいが
  static ライブラリ(コンパイル時に実行ファイルに組み込んでしまう
  ライブラリ) だと 1.1.3 のままだからコンパイルしなおさないと
  いけない。

とか、

  zlib 1.1.3 のソースを別のソフトに流用しているものは 1.1.4 の
  ソースを使うように直さないといけない。

ということが難しい点です。前者だと頑張って -shared にすれば
たいてい何とかなるのですが、後者の場合は該当ソフトのバージョン
アップを待つのが無難な選択になります。
# ただ、前者でもどれに zlib を使っているか追うのが大変な作業
# だったりします

で、困ったことにカーネルが後者に該当します。ので、できれば
カーネルも更新しましょう。
# 2.4 系は 2.4.18 以前、2.2 系は 2.2.19 以前が該当だったと
# 思います

なお、このバグを使ったアタック方法はまだ発見されていない
ことになってますので、緊急性はそれほど高くないのですが、
予防しておくにこしたことはありません。
-- 
山口 真悟 (YAMAGUCHI Shingo)
shingo-y@spacelan.ne.jp
shingo@kip.iis.toyama-u.ac.jp