home *** CD-ROM | disk | FTP | other *** search
/ Chaos Computer Club 1997 February / cccd_beta_feb_97.iso / contrib / cert / ca9517 < prev    next >
PGP Signed Message  |  1997-02-28  |  14KB  |  349 lines
  1. -----BEGIN PGP SIGNED MESSAGE-----
  2.  
  3. =============================================================================
  4. CERT(sm) Advisory CA-95:17
  5. Original issue date: December 12, 1995
  6. Last revised: August 30, 1996
  7.               Information previously in the README was inserted
  8.               into the advisory.
  9.  
  10.               A complete revision history is at the end of this file.
  11.                     
  12. Topic: rpc.ypupdated Vulnerability
  13. - -----------------------------------------------------------------------------
  14.  
  15. The CERT Coordination Center has received reports of a vulnerability in
  16. the rpc.ypupdated program. An exploitation program has also been posted
  17. to several newsgroups.
  18.  
  19. This vulnerability allows remote users to execute arbitrary programs on
  20. machines that provide Network Information Service (NIS) master and slave
  21. services. Client machines of an NIS master or slave server are not affected.
  22.  
  23. See Section III for a test to help you determine if you are vulnerable, along
  24. with a workaround. In addition, Appendix A contains a list of vendors who have
  25. reported their status regarding this vulnerability.
  26.  
  27. We will update this advisory as we receive additional information.
  28. Please check advisory files regularly for updates that relate to your site.
  29. - -----------------------------------------------------------------------------
  30.  
  31. I.   Description
  32.  
  33.      The rpc.ypupdated program is a server used to change NIS information from
  34.      a network-based client using various methods of authentication.
  35.  
  36.      Note:
  37.         The Network Information Service (NIS) was formerly known as Sun
  38.         Yellow Pages (YP). The functionality of the two remains the same;
  39.         only the name has changed. The name Yellow Pages is a registered
  40.         trademark in the United Kingdom of British Telecommunications plc,
  41.         and may not be used without permission.
  42.  
  43.      Clients connect to rpc.ypupdated and provide authentication information
  44.      and proposed changes to an NIS database. If authenticated, the
  45.      information provided is used to update the selected NIS database.
  46.  
  47.      The protocol used when clients communicate with a server only checks
  48.      to see if the connection is authentic using secure RPC. The protocol
  49.      does not check to see if the client is authorized to modify the NIS
  50.      data or if the given NIS map exists. Even after an unsuccessful
  51.      attempt to update the NIS information, the rpc.ypupdated server invokes
  52.      the make(1) program to propagate possible changes. The invocation of
  53.      make is implemented in an insecure fashion which allows the requesting
  54.      client to pass malicious arguments to the call resulting in the execution
  55.      of arbitrary commands on NIS master and slave servers.
  56.  
  57. II.  Impact
  58.  
  59.      Remote users can execute commands on vulnerable NIS master and slave
  60.      machines.
  61.  
  62. III. Solution
  63.  
  64.      First determine if you are vulnerable (see Sec. A below). If you are
  65.      vulnerable, either follow the instructions vendors have provided in
  66.      Appendix A or apply the workaround in Sec. B below.
  67.  
  68.      A.  Consult the vendor information in Appendix A. If your vendor is not
  69.          listed, then check to see if your system has an rpc.ypupdated server.
  70.          To do this check, consult your system documentation or look in your
  71.          system initialization files (e.g., /etc/rc*, /etc/init.d/*, and
  72.          inetd.conf) for rpc.ypupdated or ypupdated. If you find a reference
  73.          to this program on your system, then it is likely that you are
  74.          vulnerable. 
  75.  
  76.      B.  Until patches are available for vulnerable systems, we
  77.          recommend that you disable rpc.ypupdated as soon as possible. 
  78.          Below are some examples given for reference only. Consult your 
  79.          system documentation for the exact details.
  80.  
  81.          In these examples, the rpc.ypupdated program is killed if it is
  82.          running, and the system is reconfigured so that the daemon does
  83.          not automatically start again when the system is rebooted.
  84.  
  85.          Example 1 - SunOS 4.1.X
  86.             For SunOS 4.1.X master and slave NIS servers, the
  87.             rpc.ypupdated program is started by the /etc/rc.local script.
  88.             First, determine if the server is running, and kill it if it
  89.             is. Then, rename rpc.ypupdated so that the /etc/rc.local
  90.             script will not find and therefore start it when the system
  91.             reboots.
  92.  
  93. # /bin/uname -a
  94. SunOS test-sun 4.1.4 1 sun4m
  95. # /bin/ps axc | /bin/grep rpc.ypupdated
  96.   108 ?  IW    0:00 rpc.ypupdated
  97. # /bin/kill 108
  98. # /bin/ps axc | /bin/grep rpc.ypupdated
  99. # /bin/grep ypupdated /etc/rc /etc/rc.local
  100. /etc/rc.local:  if [ -f /usr/etc/rpc.ypupdated -a -d /var/yp/$dname ]; then
  101. /etc/rc.local:          rpc.ypupdated;  echo -n ' ypupdated'
  102. # /bin/mv /usr/etc/rpc.ypupdated /usr/etc/rpc.ypupdated.CA-95:17
  103. # /bin/chmod 0 /usr/etc/rpc.ypupdated.CA-95:17
  104.  
  105.  
  106.          Example 2 - IRIX
  107.             On IRIX systems, ypupdated is started by the inetd daemon. For 
  108.             versions 3.X, 4.X, 5.0.X, 5.1.X, and 5.2, the ypupdated is 
  109.             enabled; but for versions 5.3, 6.0.X, and 6.1, it is disabled. 
  110.             Note that the byte counts given for /bin/ed may vary from system
  111.             to system. Note also that the inetd.conf file is found in
  112.             different locations for different releases of IRIX. For 3.X and
  113.             4.X, it is located in /usr/etc/inetd.conf. For all other releases
  114.             (5.0.X, 5.1.X, 5.2, 5.3, 6.0.X, and 6.1) it is in /etc/inetd.conf.
  115.             
  116. # /bin/uname -a
  117. IRIX test-iris 5.2 02282015 IP20 mips
  118. # /bin/grep ypupdated /etc/inetd.conf
  119. ypupdated/1 stream rpc/tcp wait root /usr/etc/rpc.ypupdated ypupdated
  120. # /bin/ps -eaf | /bin/grep rpc.ypupdated
  121.     root   184     1  0   Nov 20 ?        0:00 /usr/etc/rpc.ypupdated 
  122.     root 14694 14610  2 11:30:07 pts/3    0:00 grep -i rpc.ypupdated
  123. # /bin/kill 184
  124. # /bin/ed /etc/inetd.conf
  125. 3344
  126. /^ypupdated/s/^/#DISABLED# /p
  127. #DISABLED# ypupdated/1 stream rpc/tcp wait root /usr/etc/rpc.ypupdated ypupdated
  128. w
  129. 3355
  130. q
  131. # /bin/ps -eac | /bin/grep inetd
  132.    193   TS  26 ?        0:04 inetd
  133. # /bin/kill -HUP 193
  134.  
  135. .............................................................................
  136.  
  137. Appendix A: Vendor Information 
  138.  
  139. Below is information we have received from vendors. If you do not see your
  140. vendor's name below, please contact the vendor directly for information.
  141.  
  142. Apple Computer, Inc.
  143. - -------------------
  144.         A/UX does not include this functionality and is
  145.         therefore not vulnerable.
  146.  
  147. Berkeley Software Design, Inc. (BSDI)
  148. - -------------------------------------
  149.         BSD/OS by Berkeley Software Design, Inc. (BSDI) is not vulnerable.
  150.  
  151. Data General Corporation
  152. - ------------------------
  153.         Data General believes the DG/UX operating system to be NOT
  154.         vulnerable. This includes all supported release, DG/UX 5.4
  155.         Release 3.10, DG/UX Release 4.10 and all related Trusted DG/UX
  156.         releases.
  157.  
  158. Digital Equipment Corporation
  159. - -----------------------------
  160.        OSF/1 on all Digital platforms is not vulnerable.
  161.       
  162.        Digital ULTRIX platforms are not vulnerable to this problem.
  163.  
  164. Hewlett-Packard Company
  165. - -----------------------
  166.         HP-UX versions 10.01, 10.10, and 10.20 are vulnerable (versions
  167.         prior to HP-UX 10.01 are not vulnerable).
  168.  
  169.         Solution: Do not run rpc.ypupdated. rpc.ypupdated is used
  170.         when adding or modifying the public:private key pair in the NIS
  171.         map public key.byname via the chkey command interface.
  172.         rpc.ypupdated should ONLY be run while changes are being made,
  173.         then terminated when the changes are complete.
  174.         Make sure you re-kill rpc.ypupdated after each reboot.
  175.  
  176. IBM Corporation
  177. - ---------------
  178.   AIX 3.2
  179.   -------
  180.     APAR - IX55360
  181.     PTF  - U440666
  182.  
  183.     To determine if you have this PTF on your system, run the following
  184.     command:
  185.  
  186.        lslpp -lB U440666
  187.  
  188.  
  189.   AIX 4.1
  190.   -------
  191.     APAR - IX55363
  192.  
  193.     To determine if you have this fix on your system, run the following
  194.     command:
  195.  
  196.        lslpp -h | grep -p bos.net.nis.server
  197.  
  198.     Your version of bos.net.nis.server should be 4.1.4.1 or later.
  199.  
  200.  
  201.   To Order
  202.   --------
  203.     APARs may be ordered using FixDist or from the IBM Support Center.
  204.     For more information on FixDist reference URL:
  205.  
  206.        http://aix.boulder.ibm.com/pbin-usa/fixdist.pl/
  207.  
  208.     or send e-mail to aixserv@austin.ibm.com with a subject of "FixDist".
  209.  
  210.  
  211. NEC Corporation
  212. - ---------------
  213.                OS               Version        Status
  214.         ------------------   ------------   --------------------------
  215.         EWS-UX/V(Rel4.0)     R1.x - R2.x    not vulnerable
  216.                              R3.x - R6.x    vulnerable
  217.  
  218.         EWS-UX/V(Rel4.2)     R7.x - R10.x   vulnerable
  219.  
  220.         EWS-UX/V(Rel4.2MP)   R10.x          vulnerable
  221.  
  222.         UP-UX/V              R2.x           not vulnerable
  223.                              R3.x - R4.x    vulnerable
  224.  
  225.         UP-UX/V(Rel4.2MP)    R5.x - R7.x    vulnerable
  226.  
  227.         UX/4800              R11.x          vulnerable
  228.         ---------------------------------------------------------------
  229.  
  230.         The following is a workaround for 48 series.
  231.  
  232.            ypupdated program is started by the /etc/rc2.d/S75rpc script.
  233.            First, determine if the server is running, killing it if it
  234.            is. Then, rename ypupdated so that the /etc/rc2.d/S75rpc
  235.            script will not find and therefore start it when the system
  236.            reboots.
  237.  
  238. # uname -a
  239. UNIX_System_V testux 4.2 1 R4000 r4000
  240. # /sbin/ps -ef | /usr/bin/grep ypupdated
  241.     root   359     1  0 08:20:05 ?        0:00 /usr/lib/netsvc/yp/ypupdated
  242.     root 19938   836  0 23:13:20 pts/1    0:00 /usr/bin/grep ypupdated
  243. # /usr/bin/kill 359
  244. # /sbin/mv /usr/lib/netsvc/yp/ypupdated /usr/lib/netsvc/yp/ypupdated.CA-95:17
  245. # /usr/bin/chmod 0 /usr/lib/netsvc/yp/ypupdated.CA-95:17
  246.  
  247.         --------------------------
  248.         Contacts for further information:
  249.         E-mail:UX48-security-support@nec.co.jp
  250.  
  251.  
  252. Open Software Foundation 
  253. - ------------------------
  254.         YP/NIS is not part of the OSF/1 Version 1.3 offering.
  255.         Hence, OSF/1 Version 1.3 is not vulnerable.
  256.  
  257. Sequent Computer Systems
  258. - ------------------------
  259.         Sequent does not support the product referred to in this advisory, and
  260.         as such is not vulnerable.
  261.  
  262. Silicon Graphics Inc. (SGI)
  263. - ---------------------------
  264.         IRIX 3.x, 4.x, 5.0.x, 5.1.x, 5.2: vulnerable.
  265.                 Turn off rpc.ypudated in inetd.conf; it is shipped with
  266.                 this turned on.
  267.         IRIX 5.3, 6.0, 6.0.1: rpc.ypupdated was off as distributed.
  268.                 Turn off if you have turned it on.
  269.  
  270. Solbourne
  271. - ---------
  272.         Not vulnerable.
  273.  
  274. Sun Microsystems, Inc.
  275. - ----------------------
  276.  
  277.         SunOS 4.1.X is vulnerable.
  278.  
  279. [Note from CERT Coordination Center: We have examined Solaris and found that
  280. Solaris 2.x is not shipped with NIS support and the vulnerability is not
  281. present. There is an extra software package named the "Solaris Name Service
  282. Transition Kit" which in version 1.2, the current version, does not contain
  283. the rpc.ypupdated program and is therefore not vulnerable. However, version
  284. 1.0 of the Solaris Name Service Transition Kit does contain rpc.ypupdated and
  285. is therefore presumed to be vulnerable.]
  286.  
  287.  
  288. - -----------------------------------------------------------------------------
  289.  
  290. If you believe that your system has been compromised, contact the CERT
  291. Coordination Center or your representative in the Forum of Incident
  292. Response and Security Teams (FIRST).
  293.  
  294. If you wish to send sensitive incident or vulnerability information to
  295. CERT staff by electronic mail, we strongly advise that the email be
  296. encrypted. The CERT Coordination Center can support a shared DES key, PGP
  297. (public key available via anonymous FTP on info.cert.org), or PEM (contact
  298. CERT staff for details).
  299.  
  300. Internet email: cert@cert.org
  301. Telephone: +1 412-268-7090 (24-hour hotline)
  302.            CERT personnel answer 8:30 a.m.-5:00 p.m. EST(GMT-5)/EDT(GMT-4),
  303.            and are on call for emergencies during other hours.
  304. Fax: +1 412-268-6989
  305.  
  306. Postal address:  CERT Coordination Center
  307.                  Software Engineering Institute
  308.                  Carnegie Mellon University
  309.                  Pittsburgh, PA 15213-3890
  310.                  USA
  311.  
  312. CERT advisories and bulletins are posted on the USENET newsgroup
  313. comp.security.announce. If you would like to have future advisories and
  314. bulletins mailed to you or to a mail exploder at your site, please send mail
  315. to cert-advisory-request@cert.org.
  316.  
  317. Past CERT publications, information about FIRST representatives, and
  318. other information related to computer security are available for anonymous
  319. FTP from info.cert.org. 
  320.  
  321.  
  322. Copyright 1995, 1996 Carnegie Mellon University
  323. This material may be reproduced and distributed without permission provided it
  324. is used for non-commercial purposes and the copyright statement is included.
  325.  
  326. CERT is a service mark of Carnegie Mellon University.
  327.  
  328. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  329. Revision history
  330.  
  331. Aug. 30, 1996  Information previously in the README was inserted
  332.                into the advisory.
  333. Feb. 21, 1996  Appendix, IBM - added an entry for IBM
  334. Dec. 18, 1995  Appendix, Digital & Hewlett-Packard - modified information
  335.  
  336.  
  337.  
  338.  
  339.  
  340. -----BEGIN PGP SIGNATURE-----
  341. Version: 2.6.2
  342.  
  343. iQCVAwUBMiS7eHVP+x0t4w7BAQE/rAP8DdKeufRKnU2+gTXPcnBPDcE65WknI9DM
  344. jhcRnMps00GHvWJX5eqTZaH5ZV351p1PjXqxIfDgbLk33MXMUp4MbwJ5bEKac1bF
  345. zZosxnX7AXLd1xz5Ul8Wi/jxCRAOw+NKZWH8JwOx72AUyHqc6R45j7ILUtg9T+Vv
  346. MvU4fMX0Okg=
  347. =wyqC
  348. -----END PGP SIGNATURE-----
  349.