Samba Teamは9月30日（現地時間），オープンソースのWindows互換ファイル・サーバー・ソフトウエア「Samba」のセキュリティ・ホールを警告した。Samba 3.0.2以前，および2.2.9以前のバージョンには，公開していないディレクトリに外部からアクセスされる恐れがある。最新版 3.0.7にはこのセキュリティ・ホールは存在しない。

　対策は，Samba 3.0.7または2.2.12にアップグレードすること。3.0.5以前のバージョン用のパッチも提供されている。また，設定ファイルsmb.confで「wide links = no」とすることでも危険を回避できる。デフォルト設定では，「wide links = no」にはなっていない。

　問題は，Sambaのディレクトリ名を扱う機能に欠陥があり，公開していないディレクトリを指定してアクセスできてしまうというもの。Sambaでは，リクエストされたディレクトリ名とファイル名から，上位ディレクトリを示す「..」や「./」などのディレクトリを指定できないにようにする処理を行っている。問題を発見したセキュリティ・ベンダーiDEFENSEによれば，この処理に欠陥があり，ルート以下の任意のディレクトリ，ファイルを指定できてしまうという。

　Smabaの最新バージョンおよびパッチは，Smabaの公式サイトからダウンロードできる。

（高橋　信頼＝IT Pro)

◎参考資料
◆Security Notice -- CVE CAN-2004-0815（Samba Team）
◆Samba Arbitrary File Access Vulnerability(iDEFENSE Security Advisory)
◆Server Security（Samba Team)
◆CAN-2004-0815（CVE)