home *** CD-ROM | disk | FTP | other *** search
/ Chaos Computer Club 1997 February / cccd_beta_feb_97.iso / contrib / cert / ca9515 < prev    next >
PGP Signed Message  |  1997-02-28  |  11KB  |  244 lines
  1. -----BEGIN PGP SIGNED MESSAGE-----
  2.  
  3. =============================================================================
  4. CERT(sm) Advisory CA-95:15
  5. Original issue date: November 8, 1995
  6. Last revised: August 30, 1996
  7.               Information previously in the README was inserted
  8.               into the advisory.
  9.  
  10.               A complete revision history is at the end of this file.
  11.                     
  12. Topic: SGI lp Vulnerability
  13. - -----------------------------------------------------------------------------
  14.  
  15. The CERT Coordination Center has had several security incidents reported to us
  16. involving the lp account on the Silicon Graphics, Inc. (SGI) IRIX system. As
  17. distributed by SGI, the lp account, as well as other accounts, has no password
  18. on a newly installed system. The lp account, which is used by the lp(1)
  19. program for remote printing, and other accounts are initially configured
  20. without passwords to provide easy "plug-and-play" install and operation.
  21. However, these password-less accounts are well known by intruders and allow
  22. unintended access to your system.
  23.  
  24. In the documentation that SGI distributes with their systems, these
  25. password-less accounts are specifically addressed in the "IRIX Advanced Site
  26. and Server Administrative Guide" in the chapter on System Security. The
  27. documentation recommends disabling the login for the lp account. It also
  28. recommends that you create passwords for the following accounts immediately:
  29. demos, guest, lp, nuucp, root, tour, tutor, and 4Dgifts. The documentation
  30. includes guidelines for choosing good passwords.
  31.  
  32. To determine if your system is vulnerable, use the following command as
  33. root to display the status of all password-less accounts:
  34.  
  35.         # /bin/passwd -sa | /bin/awk '$2 == "NP" {print $0}'
  36.  
  37. If this command displays any accounts, especially the lp account, then
  38. your system is vulnerable. To address this vulnerability, we recommend
  39. using the workarounds in Section III below.
  40.  
  41. We will update this advisory as we receive additional information.
  42. Please check advisory files regularly for updates that relate to your site.
  43. - -----------------------------------------------------------------------------
  44.  
  45. I.   Description
  46.  
  47.      The SGI IRIX system as distributed has some accounts without
  48.      passwords. Among the accounts that are password-less is the lp
  49.      account. This account is used in part by the lp(1) program to manage
  50.      object and spooled data files in the /var/spool/lp directory (for IRIX
  51.      4.X, this directory is /usr/spool/lp). The account is created without a
  52.      password because lp(1) uses rsh(1) to transfer files from print clients
  53.      to print servers.
  54.  
  55. II.  Impact
  56.  
  57.      Remote users can gain access to systems without authentication. The level
  58.      of privilege gained depends on the password-less account used to access a
  59.      system. 
  60.  
  61.      Although the scope of this advisory is the lp account, keep in mind that
  62.      any account without a password (or with an easy-to-guess password) is a
  63.      point for access without authentication. 
  64.  
  65. III. Solution
  66.  
  67.      The general solution is to lock all accounts that do not have
  68.      passwords. Section A below describes how to do that.
  69.      
  70.      Section B suggests one way to re-enable print client to print server
  71.      communication.
  72.      
  73.      A. Lock each password-less account.
  74.          
  75.         Store the following script in /tmp/CheckPasswords for example and
  76.         then run it as root on your machine to lock each password-less
  77.         account. The password installed will not allow the accounts to be 
  78.         used as login accounts. See the passwd(1) manual page for more
  79.         details. Note that this script only locks accounts on the local 
  80.         machine. If there are password-less accounts in NIS, those accounts 
  81.         will not be locked by this script.
  82.  
  83.         ------------------------cut here--8<------------------------
  84.         #!/bin/sh
  85.         for account in `/bin/passwd -sa | /bin/awk '$2 == "NP" {print $1}'`
  86.         do
  87.                 /bin/echo Locked the $account account
  88.                 /bin/passwd -l $account
  89.         done
  90.         ------------------------cut here--8<------------------------
  91.  
  92.         The first time the script is run, it should display something
  93.         similar to the following:
  94.  
  95.                 # sh /tmp/CheckPasswords
  96.                 Locked the tutor account
  97.                 Locked the tour account
  98.                 Locked the lp account
  99.                 ...
  100.  
  101.         If the script locked an account, run the script again. This
  102.         time it should produce no output because all password-less
  103.         accounts have now been locked.
  104.  
  105.      B. Re-enable print client to print server communication.
  106.  
  107.         (We have verified with SGI that you can use the script in this section
  108.         to re-enable the print client to print server communication. SGI has
  109.         asked us to make it clear, however, that they do not have the
  110.         resources to handle issues relating to the use of wrappers.) 
  111.  
  112.         Note that, in general, the CERT Coordination Center recommends
  113.         that the rlogin and rsh services be blocked at your Internet
  114.         routers and turned off on all of your machines. If you have turned
  115.         the rsh service off on your print server, you will need to turn it
  116.         back on on that machine. If you decide to do this, we strongly
  117.         recommend that you install and use a TCP/IP wrapper program to
  118.         restrict the set of machines that can connect to your print server's
  119.         rsh service. A TCP/IP wrapper program is available from
  120.  
  121.           ftp://info.cert.org/pub/tools/tcp_wrappers/tcp_wrappers_7.2.tar.Z
  122.         
  123.           MD5 (tcp_wrappers_7.2.tar.Z) = 883d00cbd2dedd9bfc783b7065740e74
  124.  
  125.  
  126.         Once the rsh service is turned on on your print server and a TCP/IP
  127.         wrapper program installed and configured, you then need to define
  128.         the set of machines that can communicate with your print server.
  129.  
  130.         For each IRIX system that controls a printer, the lp account
  131.         needs to be changed to re-enable print client to print server
  132.         communication. To do this, the lp account on each print server
  133.         needs a .rhosts file in lp's home directory, typically
  134.         /var/spool/lp (for IRIX 4.X, this directory is /usr/spool/lp).
  135.         The owner and group of this file must be the same as that of the
  136.         lp account. Its contents are lines of the form:
  137.  
  138.                 print_client_name       lp
  139.  
  140.         Each line identifies the name of the print client and indicates
  141.         that the lp account is the account that is allowed to rsh from 
  142.         the print client to the print server.
  143.         
  144.         The following shows an example of configuring communication from
  145.         a print client (named "client") to a print server. This
  146.         configuration need only be done on a print server. The ping
  147.         command is used to determine the print client's formal name
  148.         according to whatever host resolution scheme is in place.
  149.         That name is stored in the .rhosts file. The last two lines,
  150.         the ping and the echo, need to be repeated for each client of
  151.         a print server.
  152.  
  153.         # /bin/awk -F: '$1 == "lp" {print $0}' /etc/passwd
  154.         lp:*LK*:9:9:Print Spooler Owner:/var/spool/lp:/bin/sh
  155.         # cd `/bin/awk -F: '$1 == "lp" {print $6}' /etc/passwd`
  156.         # /bin/touch .rhosts
  157.         # /bin/chown lp .rhosts
  158.         # /bin/chgrp lp .rhosts
  159.         # /bin/chmod 600 .rhosts
  160.         # /usr/etc/ping -c 1 client | /bin/awk '$1 == "PING" {print $2}'
  161.         client.YourDomain
  162.         # /bin/echo client.YourDomain lp >> .rhosts
  163.  
  164.  
  165. - ---------------------------------------------------------------------------
  166. The CERT Coordination Center staff thanks Silicon Graphics Inc. and
  167. Christopher Kranz of Princeton University for their support in responding to
  168. this problem. 
  169. - ---------------------------------------------------------------------------
  170.  
  171. If you believe that your system has been compromised, contact the CERT
  172. Coordination Center or your representative in the Forum of Incident
  173. Response and Security Teams (FIRST).
  174.  
  175. If you wish to send sensitive incident or vulnerability information to
  176. CERT staff by electronic mail, we strongly advise that the email be
  177. encrypted. The CERT Coordination Center can support a shared DES key, PGP
  178. (public key available via anonymous FTP on info.cert.org), or PEM (contact
  179. CERT staff for details).
  180.  
  181. Internet email: cert@cert.org
  182. Telephone: +1 412-268-7090 (24-hour hotline)
  183.            CERT personnel answer 8:30 a.m.-5:00 p.m. EST(GMT-5)/EDT(GMT-4),
  184.            and are on call for emergencies during other hours.
  185. Fax: +1 412-268-6989
  186.  
  187. Postal address:  CERT Coordination Center
  188.                  Software Engineering Institute
  189.                  Carnegie Mellon University
  190.                  Pittsburgh, PA 15213-3890
  191.                  USA
  192.  
  193. CERT advisories and bulletins are posted on the USENET newsgroup
  194. comp.security.announce. If you would like to have future advisories and
  195. bulletins mailed to you or to a mail exploder at your site, please send mail
  196. to cert-advisory-request@cert.org.
  197.  
  198. Past CERT publications, information about FIRST representatives, and
  199. other information related to computer security are available for anonymous
  200. FTP from info.cert.org. 
  201.  
  202.  
  203. Copyright 1995, 1996 Carnegie Mellon University
  204. This material may be reproduced and distributed without permission provided it
  205. is used for non commercial purposes and the copyright statement is included.
  206.  
  207. CERT is a service mark of Carnegie Mellon University.
  208.  
  209. =============================================================================
  210. UPDATES
  211.  
  212. Silicon Graphics, Inc. have issued a Security Advisory
  213. concerning this vulnerability (19951002-01-I). Their advisory
  214. can be obtained from
  215.  
  216.         ftp://sgigate.sgi.com/security
  217.  
  218. We have received additional information from one member of our
  219. constituency regarding the vulnerability in the SGI printing system
  220. and the accounts without passwords. The supercomputer NEC SX-3 running
  221. "SUPER-UX unix 5.10 1 SX-3" (which is very similar to IRIX) also has
  222. the same vulnerability.
  223.  
  224. (As far as we are aware there are only about 30 machines [in the world]
  225. running this OS.)
  226.  
  227. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  228. Revision history
  229.  
  230. Aug. 30, 1996  Information previously in the README was inserted
  231.                into the advisory.
  232. Dec. 20, 1995  Updates section - Added a pointer to SGI advisory and a note
  233.                about the supercomputer NEC SX-3.
  234.  
  235. -----BEGIN PGP SIGNATURE-----
  236. Version: 2.6.2
  237.  
  238. iQCVAwUBMiS7C3VP+x0t4w7BAQEEdQP+M1ZEdVG24vtpzRDBOG2lV7sekEwvb4Ms
  239. ljSiK2bTiBZHHI8llWeP5PS7DbiyLHo+ZV+dGdFOYdygWvpHgEZPdxb4s8ZhZf7X
  240. RCBuckD7/dY4LfUGqSH2Z+09eJDr+FdCVXTms5eGmp7d/v4OEiB8VmSOhKUjGOlg
  241. c/xD4a2EWnE=
  242. =eQd0
  243. -----END PGP SIGNATURE-----
  244.