home *** CD-ROM | disk | FTP | other *** search
/ Chaos Computer Club 1997 February / cccd_beta_feb_97.iso / contrib / cert / ca9619 < prev    next >
PGP Signed Message  |  1997-02-28  |  14KB  |  353 lines
  1. -----BEGIN PGP SIGNED MESSAGE-----
  2.  
  3. =============================================================================
  4. CERT(sm) Advisory CA-96.19
  5. Original issue date: August 15, 1996
  6. Last revised: December 20, 1996
  7.               Appendix A, HP - revised information from vendor has been
  8.               included.          
  9.  
  10.               A complete revision history is at the end of this file.
  11.  
  12. Topic: Vulnerability in expreserve
  13. - -----------------------------------------------------------------------------
  14.  
  15.             *** This advisory supersedes CA-93:09 and CA-93:09a. ***
  16.  
  17. The CERT Coordination Center has received reports of a vulnerability in
  18. expreserve. Though this is not a new vulnerability, it is one that is widely
  19. known and that many users have not yet patched. The CERT/CC team recommends
  20. that you patch your system as soon as possible, as exploitation scripts are
  21. publicly available. Appendix A contains the information we have received from
  22. vendors. Until you can install a patch, you should apply the workaround in
  23. Section III below.
  24.  
  25. We will update this advisory as we receive additional information.
  26. Please check advisory files regularly for updates that relate to your site.
  27.  
  28. - -----------------------------------------------------------------------------
  29.  
  30. I.   Description
  31.  
  32.      Expreserve is a utility that preserves the state of a file being edited
  33.      by vi(1) or ex(1) when an edit session terminates abnormally or when the
  34.      system crashes. Expreserve has a vulnerability that allows users to
  35.      overwrite any file on the system. Exploitation scripts are publicly
  36.      available.
  37.  
  38. II.  Impact
  39.  
  40.      By exploiting this vulnerability, users with access to an account on the
  41.      system can readily gain root privileges.
  42.  
  43.  
  44. III. Solution
  45.  
  46.      A.  Apply a patch or workaround provided by your vendor.
  47.          Below is a summary list of the vendors who have provided information,
  48.          which we have placed in Appendix A of this advisory. If your vendor's
  49.          name is not on this list, please contact the vendor directly.
  50.  
  51.             Berkeley Software Design, Inc.
  52.             Cray Research
  53.             Data General Corporation
  54.             Digital Equipment Corporation
  55.             Hewlett-Packard Company
  56.             IBM Corporation
  57.             NeXT Software, Inc.
  58.             Open Software Foundation
  59.             The Santa Cruz Operation, Inc.
  60.             Sun Microsystems, Inc.
  61.  
  62.      B.  Until you are able to apply a patch or workaround, we recommend
  63.          that you remove the execute permissions on the existing
  64.          /usr/lib/expreserve program.  Do this as root:
  65.  
  66.          % /usr/bin/chmod  a-x  /usr/lib/expreserve
  67.  
  68.          This workaround disables expreserve functionality. The result of this
  69.          workaround is that if vi(1) or ex(1) is running, and the sessions are
  70.          interrupted, the files being edited will not be preserved and all
  71.          edits not explicitly saved by the users will be lost. Encourage users
  72.          to save their files often.
  73.  
  74. .........................................................................
  75.  
  76. Appendix A: Vendor Information
  77.  
  78. Below is information we have received from vendors concerning the
  79. vulnerability described in this advisory. If you do not see your vendor's
  80. name, please contact the vendor directly for information.
  81.  
  82.  
  83. Berkeley Software Design, Inc.
  84. ==============================
  85.         BSD/OS is not vulnerable to this problem.  We ship the
  86.         current Keith Bostic nvi which does not use the old expreserve
  87.         scheme to save files (it uses the 4.4BSD-style 1777 tmp
  88.         directories to store user tmp files in /var/tmp owned by
  89.         the user and therefore doesn't require a setuid scheme to
  90.         recover them).
  91.  
  92. Cray Research
  93. =============
  94.         We have fixed this problem at Cray Research in Unicos version 7.0.
  95.  
  96. Data General Corporation
  97. ========================
  98.         The binary /usr/lib/expreserve is not a setuid program on DG/UX,
  99.         any flavor.  We are not, therefore, vulnerable to the exploitation
  100.         described.  Nevertheless, the suggested change has been made and
  101.         will be included in subsequent releases of DG/UX.
  102.  
  103. Digital Equipment Corporation
  104. =============================
  105.         This reported problem is not present for Digital's ULTRIX or
  106.         Digital UNIX Operating Systems Software.
  107.  
  108.         Source:
  109.                 Digital Equipment Corporation
  110.                 Software Security Response Team
  111.                 Copyright (c) Digital Equipment Corporation 1996.
  112.                 All rights reserved.
  113.  
  114.         8/13/96 - DIGITAL EQUIPMENT CORPORATION
  115.  
  116. Hewlett-Packard Company
  117. =======================
  118.  
  119.   PROBLEM:  **REVISED 01**  Vulnerability in /usr/lib/expreserve in HP-UX
  120.             9.X and 10.X
  121.   PLATFORM: HP 9000 series 300/400s and 700/800s
  122.   DAMAGE:   The default permissions of file expreserve(1) are in error,
  123.             thereby allowing users to potentially gain root privileges
  124.             on the host.
  125.   SOLUTION: Apply patch PHCO_6363 (series 700/800, HP-UX 9.x), or
  126.                         PHCO_7833 (series 300/400, HP-UX 9.x), or
  127.                         PHCO_8652 (series 700/800, HP-UX 10.0X), or
  128.                         PHCO_8653 (series 700/800, HP-UX 10.10), or
  129.                         PHCO_8654 (series 700/800, HP-UX 10.20).
  130.  
  131.    Perform the actions described below in releases of HP-UX prior
  132.           to 9.X.)
  133.  
  134.   AVAILABILITY:  All patches are available now.
  135.   CHANGE SUMMARY:  New patches available for releases of HP-UX 10.XX.
  136.  
  137. Update
  138.  
  139.    A. Additional patches for HP-UX have been released to address the
  140.    vulnerability originally appearing in the 18 July 1996 version of
  141.    the Hewlett-Packard bulletin.
  142.  
  143.    A private communication to HP described a vulnerability that allows
  144.    ordinary users to potentially gain super-user privileges.
  145.    The default permission for the file /usr/lib/expreserve (or on HP-UX
  146.    10.X /usr/lbin/expreserve) needs only minimal privileges.  If the
  147.    patches mentioned above are applied the vulnerability cannot be
  148.    exploited.
  149.  
  150.    In case no patches is available for your host HP-UX release, system
  151.    administrators are asked to perform the following action to achieve
  152.    the same result.
  153.  
  154. Fixing the problem
  155.  
  156.    The vulnerability can be eliminated from releases 9.X of HP-UX
  157.    by applying a patch.  Since some patches will not be made available
  158.    on some releases of HP-UX (e.g., prior to 9.X), affected systems can
  159.    be protected by system administrators.
  160.    They should:
  161.  
  162.               $ su root
  163.               # chmod 0555 /usr/lib/expreserve
  164.  
  165.    For HP-UX 10.X systems applying the patches specified above is now in
  166.    order.
  167.  
  168.    Hewlett-Packard recommends that all customers concerned with the
  169.    security of their HP-UX systems either apply the appropriate
  170.    patch or perform the actions described above as soon as possible.
  171.  
  172. How to Install the Patch
  173.  
  174.      1.  Determine which patch is appropriate for your hardware platform
  175.          and operating system:
  176.  
  177.                       PHCO_6363 (series 700/800, HP-UX 9.x), or
  178.                       PHCO_7833 (series 300/400, HP-UX 9.x),
  179.                       PHCO_8652 (series 700/800, HP-UX 10.0X), or
  180.                       PHCO_8653 (series 700/800, HP-UX 10.10), or
  181.                       PHCO_8654 (series 700/800, HP-UX 10.20).
  182.  
  183.      2.  Hewlett Packard's HP-UX patches are available via email
  184.          and World Wide Web
  185.  
  186.      To obtain a copy of the HP SupportLine email service user's
  187.          guide, send the following in the TEXT PORTION OF THE MESSAGE
  188.          to support@us.external.hp.com (no Subject is required):
  189.  
  190.                                send guide
  191.  
  192.          The users guide explains the HP-UX patch downloading process
  193.          via email and other services available.
  194.  
  195.          World Wide Web service for downloading of patches
  196.          is available via our URL:
  197.                   (http://us.external.hp.com)
  198.  
  199.  
  200.      3.  Apply the patch to your HP-UX system.
  201.  
  202.      4.  Examine /tmp/update.log (in 9.X) or /var/adm/sw/swinstall.log
  203.          (in 10.X), for any relevant WARNINGs or ERRORs.
  204.  
  205. Impact
  206.  
  207.     These patches for HP-UX releases 9.X and 10.X provide a proper
  208.     permissions /usr/lib/expreserve which fixes the vulnerability.  No
  209.     patches will be available for versions of HP-UX older than 9.X.
  210.     Instead, the workaround is described above.
  211.  
  212.  
  213. IBM Corporation
  214. ===============
  215.         AIX versions 3.2.5, 4.1, and 4.2 are not vulnerable to this
  216.         particular problem.
  217.  
  218.         IBM and AIX are registered trademarks of International Business
  219.         Machines Corporation.
  220.  
  221. NeXT Software, Inc.
  222. ===================
  223.         This problem was fixed in or before release 3.3 of NeXTstep.
  224.  
  225. Open Software Foundation
  226. ========================
  227.         OSF's OSF/1 R1.3 is not effected by this vulnerability.
  228.  
  229. The Santa Cruz Operation, Inc.
  230. ==============================
  231.         SCO Operating Systems are not vulnerable to this problem.
  232.  
  233. Silicon Graphics, Inc.
  234. ======================
  235. The Silicon Graphics implementation of expreserv is setgid sys and
  236. not setuid root as reported in the CERT(sm) advisory.   As such this
  237. redefines the exposure to a setgid sys issue.  Exploit would have to
  238. occur on group sys writable files, however, on a default configured
  239. IRIX system there are no system critical files that are group sys
  240. writable and therefore exposure and exploit does not exist.
  241.  
  242. Silicon Graphics will not be releasing a patch for this issue,
  243. however, the issue will be corrected in future releases of IRIX.
  244.  
  245. If desired, the setgid permission of the expreserv could be removed
  246. however, this will disable the recovery functions of the vi(1) and
  247. ex(1) editors.   This functionality could be fixed by manually
  248. creating directories for each user in /var/preserve directory.
  249.  
  250. Sun Microsystems, Inc.
  251. ======================
  252. System          Patch ID    Filename           MD5 Checksum
  253. - ------          --------    ---------------    -----------
  254. SunOS 4.1.1     101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  255. SunOS 4.1.2     101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  256. SunOS 4.1.3     101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  257. SunOS 4.1.3C    101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  258. SunOS 4.1.3_U1  101579-01   101579-01.tar.Z    327b89942b02c4cb15bb80bf61b2df94
  259. SunOS 4.1.4     Not vulnerable
  260.  
  261. Solaris 2.0     101119-01   101119-01.tar.Z    No longer available
  262. Solaris 2.1     101089-01   101089-01.tar.Z    No longer available
  263. Solaris 2.2     101090-01   101090-01.tar.Z    e9ff98823abbc75d95410a0cb7856644
  264. Solaris 2.3     Vulnerable; no patch made
  265. Solaris 2.4     102756-01   102756-01.tar.Z    61f4a48ddba41ae1c27e70b84f4c8d87
  266. Solaris 2.4_x86 102757-01   102757-01.tar.Z    1f2b7f3824565ef849eb3c4677567399
  267. Solaris 2.5     Not vulnerable
  268. Solaris 2.5.1   Not vulnerable
  269.  
  270.  
  271. - ---------------------------------------------------------------------------
  272. The CERT Coordination Center thanks all the vendors who provided input
  273. for this advisory.
  274. - ---------------------------------------------------------------------------
  275.  
  276. If you believe that your system has been compromised, contact the CERT
  277. Coordination Center or your representative in the Forum of Incident
  278. Response and Security Teams (FIRST).
  279.  
  280. We strongly urge you to encrypt any sensitive information you send by email.
  281. The CERT Coordination Center can support a shared DES key and PGP. Contact
  282. the CERT staff for more information.
  283.  
  284. Location of CERT PGP key
  285.          ftp://info.cert.org/pub/CERT_PGP.key
  286.  
  287. CERT Contact Information
  288. - ------------------------
  289. Email    cert@cert.org
  290.  
  291. Phone    +1 412-268-7090 (24-hour hotline)
  292.                 CERT personnel answer 8:30-5:00 p.m. EST
  293.                 (GMT-5)/EDT(GMT-4), and are on call for
  294.                 emergencies during other hours.
  295.  
  296. Fax      +1 412-268-6989
  297.  
  298. Postal address
  299.         CERT Coordination Center
  300.         Software Engineering Institute
  301.         Carnegie Mellon University
  302.         Pittsburgh PA 15213-3890
  303.         USA
  304.  
  305. CERT publications, information about FIRST representatives, and other
  306. security-related information are available for anonymous FTP from
  307.         http://www.cert.org/
  308.         ftp://info.cert.org/pub/
  309.  
  310. CERT advisories and bulletins are also posted on the USENET newsgroup
  311.         comp.security.announce
  312.  
  313. To be added to our mailing list for CERT advisories and bulletins, send your
  314. email address to
  315.         cert-advisory-request@cert.org
  316.  
  317.  
  318. Copyright 1996 Carnegie Mellon University
  319. This material may be reproduced and distributed without permission provided
  320. it is used for noncommercial purposes and the copyright statement is
  321. included.
  322.  
  323. CERT is a service mark of Carnegie Mellon University.
  324.  
  325. This file: ftp://info.cert.org/pub/cert_advisories/CA-96.19.expreserve
  326.            http://www.cert.org
  327.                click on "CERT Advisories"
  328.  
  329.  
  330. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  331. Revision history
  332.  
  333. Dec. 20, 1996  Appendix A, HP - revised information from vendor has been
  334.            included.
  335. Aug. 30, 1996  Information previously in the README was inserted into the
  336.                advisory.
  337. Aug. 28, 1996  Appendix A, SGI - added an entry for this vendor.
  338. Aug. 21, 1996  Appendix A, Sun - added more patch information.
  339.  
  340.  
  341.  
  342.  
  343.  
  344. -----BEGIN PGP SIGNATURE-----
  345. Version: 2.6.2
  346.  
  347. iQCVAwUBMrqlCnVP+x0t4w7BAQEyZQQAps9QDVFvnip8A+VxWuBVQkdUYbDAzrLM
  348. B9l4W2FSXssrJRVewzZafVEB3/lxLDv7dxwuFTNdlGt+sObAjbQTbaAGg8rtzFuc
  349. qy3+uQMLh5oWBR+8UzaB+94VvKBxOzt/rvAdG/8uvAGc+7wHKxMU91ItJGPl0EnV
  350. vZmqP7RTgNo=
  351. =6reG
  352. -----END PGP SIGNATURE-----
  353.