home *** CD-ROM | disk | FTP | other *** search
/ Freaks Macintosh Archive / Freaks Macintosh Archive.bin / Freaks Macintosh Archives / Textfiles / cert / CERTSummaries96.sit.hqx / CERT summaries 96' next >
PGP Signed Message  |  1997-01-21  |  56KB  |  1,599 lines
  1. -----BEGIN PGP SIGNED MESSAGE-----
  2.  
  3. - ---------------------------------------------------------------------------
  4. CERT(sm) Summary CS-96.01
  5. January 23, 1996
  6.  
  7. The CERT Coordination Center periodically issues the CERT Summary to
  8. draw attention to the types of attacks currently being reported to our
  9. strategic incident response staff. The summary includes pointers to
  10. sources of information for dealing with the problems. We also list new
  11. or updated files that are available for anonymous FTP from
  12.      ftp://info.cert.org/pub/
  13.  
  14. Past CERT Summaries are available from 
  15.      ftp://info.cert.org/pub/cert_summaries/
  16. - ---------------------------------------------------------------------------
  17.  
  18. Recent Activity 
  19. - --------------- 
  20.  
  21. In the last two months we have seen the same types of activity that we
  22. described in the CERT advisory CA-95:18 Widespread Attacks on Internet
  23. Sites.  If you have not yet taken steps to protect your site against
  24. the activities described below, we urge you to do so as soon as
  25. possible. 
  26.  
  27.   Description
  28.  
  29.      Intruders are doing the following:
  30.  
  31.         - using automated tools to scan sites for NFS and NIS vulnerabilities 
  32.  
  33.         - exploiting the rpc.ypupdated vulnerability to gain root access
  34.  
  35.         - exploiting the loadmodule vulnerability to gain root access
  36.  
  37.         - installing Trojan horse programs and packet sniffers
  38.  
  39.         - launching IP spoofing attacks
  40.  
  41.   Solution
  42.  
  43.      The CERT staff urges you to immediately take the steps described in
  44.      the advisories referenced below. Note that it is important to 
  45.      periodically recheck these files as they contain updated 
  46.      information received after the advisory was published.
  47.  
  48.      a. Using automated tools to scan sites for NFS and NIS vulnerabilities 
  49.  
  50.         * CA-94:15.NFS.Vulnerabilities
  51.         * CA-92:13.SunOS.NIS.vulnerability 
  52.  
  53.      b. Exploiting the rpc.ypupdated vulnerability to gain root access
  54.  
  55.          * CA-95:17.rpc.ypupdated.vul
  56.  
  57.      c. Exploiting the loadmodule vulnerability to gain root access
  58.  
  59.         * CA-93:18.SunOS.Solbourne.loadmodule.modload.vulnerability
  60.         * CA-95:12.sun.loadmodule.vul
  61.  
  62.      d. Installing Trojan horse programs and packet sniffers
  63.         * CA-94:01.ongoing.network.monitoring.attacks 
  64.      
  65.      e. Launching IP spoofing attacks
  66.  
  67.          * CA-95:01.IP.spoofing
  68.  
  69.       
  70.      The CERT advisories are available from
  71.  
  72.          ftp://info.cert.org/pub/cert_advisories
  73.  
  74.  
  75.  
  76. What's New in the CERT FTP Archive
  77. - ----------------------------------
  78. We have made the following changes since the last CERT Summary (November 28,
  79. 1995). 
  80.  
  81. * New Additions
  82.  
  83. ftp://info.cert.org/pub/
  84.  
  85.     Sysadmin_Tutorial.announcement (This CERT course will be given
  86.                                     four times this year in Pittsburgh, 
  87.                                     Pennsylvania, USA.)
  88.  
  89. ftp://info.cert.org/pub/cert_advisories/
  90.  
  91.     CA-95:16.wu-ftpd.vul
  92.     CA-95:17.rpc.ypupdated.vul
  93.     CA-95:18.widespread.attacks
  94.  
  95. ftp://info.cert.org/pub/cert_bulletins/
  96.  
  97.     VB-95:10.elm
  98.     VB-95:10a.elm (listed additional FTP sites)
  99.  
  100.  
  101. * Updated Files 
  102.  
  103. ftp://info.cert.org/pub/
  104.  
  105.     cert_faq
  106.  
  107. ftp://info.cert.org/pub/cert_advisories/
  108.  
  109.     CA-95:13 (syslog - added info from Digital Equipment)
  110.     CA-95:15 (SGI lp - added info)
  111.     CA-95:16 (wu-ftpd - added clarification and Solaris 2.4 info)
  112.     CA-95:17 (rpc.ypupdated - added vendor info for Digital & HP)
  113.  
  114. ftp://info.cert.org/pub/tech_tips/
  115.  
  116.     AUSCERT_checklist1.1 (replaced AUSCERT checklist version 1.0)
  117.  
  118.  
  119. - ---------------------------------------------------------------------------
  120. How to Contact the CERT Coordination Center
  121.  
  122. Email    cert@cert.org 
  123.  
  124. Phone    +1 412-268-7090 (24-hour hotline) 
  125.                 CERT personnel answer 8:30-5:00 p.m. EST
  126.                 (GMT-5)/EDT(GMT-4), and are on call for
  127.                 emergencies during other hours. 
  128.  
  129. Fax      +1 412-268-6989
  130.  
  131. Postal address
  132.         CERT Coordination Center
  133.         Software Engineering Institute
  134.         Carnegie Mellon University
  135.         Pittsburgh PA 15213-3890
  136.         USA
  137.  
  138. To be added to our mailing list for CERT advisories and bulletins, send your
  139. email address to 
  140.         cert-advisory-request@cert.org
  141.  
  142. CERT advisories and bulletins are posted on the USENET news group
  143.          comp.security.announce
  144.  
  145. If you wish to send sensitive incident or vulnerability information to CERT
  146. staff by electronic mail, we strongly advise you to encrypt your message.
  147. We can support a shared DES key or PGP. Contact the CERT staff for more
  148. information. 
  149.  
  150. Location of CERT PGP key
  151.          ftp://info.cert.org/pub/CERT_PGP.key
  152.  
  153. - ---------------------------------------------------------------------------
  154. Copyright 1996 Carnegie Mellon University
  155. This material may be reproduced and distributed without permission provided
  156. it is used for noncommercial purposes and credit is given to the CERT
  157. Coordination Center.
  158.  
  159. CERT is a service mark of Carnegie Mellon University.
  160.  
  161. -----BEGIN PGP SIGNATURE-----
  162. Version: 2.6.2
  163.  
  164. iQCVAwUBMhCsXHVP+x0t4w7BAQHfBgQAuo/+ApxplmfDVxE0O6IahjhJmzKO28M8
  165. X4Hx+BtfZycxe3WgT7mHVTN4iIl2n8k4d1PAUJZGdzhYe7kjiH2auiVUEruR9fQC
  166. aREps8J2gn1BWWUijWuVWMQZ8n0IRmeRseJu1Fa17oz93QnKThPD4H31O8+fj6Jh
  167. Pzgs8THUUX4=
  168. =3+Ic
  169. -----END PGP SIGNATURE-----
  170.  
  171.  
  172.  
  173. -----BEGIN PGP SIGNED MESSAGE-----
  174.  
  175.  
  176. - ---------------------------------------------------------------------------
  177. CERT(sm) Summary CS-96.02
  178. March 26, 1996
  179.  
  180. The CERT Coordination Center periodically issues the CERT Summary to
  181. draw attention to the types of attacks currently being reported to our
  182. strategic incident response staff. The summary includes pointers to
  183. sources of information for dealing with the problems. We also list new
  184. or updated files that are available for anonymous FTP from
  185.      ftp://info.cert.org/pub/
  186.  
  187. Past CERT Summaries are available from 
  188.      ftp://info.cert.org/pub/cert_summaries/
  189. - ---------------------------------------------------------------------------
  190.  
  191. Recent Activity 
  192. - --------------- 
  193.  
  194. In the two months since the last CERT Summary, we have continued to
  195. receive reports about the same types of activities that were described
  196. in CERT advisory CA-95:18 Widespread Attacks on Internet Sites. In
  197. addition, we have seen an increase in the number of reports relating
  198. to software piracy, many of which involve intruders taking advantage
  199. of systems with poorly configured anonymous FTP areas.
  200.  
  201. If you haven't done so already, the CERT staff urges you to
  202. immediately take the steps described in the advisories listed below.
  203. Note that it is important to periodically recheck these files, as they
  204. can contain updated information that we receive after an advisory is
  205. published.
  206.  
  207. The majority of the incidents reported to our incident response staff
  208. during the last two months fit into one (or more) of these seven
  209. categories:
  210.  
  211. 1. Root compromise on systems that are unpatched or running old OS versions.
  212.  
  213.    We receive daily reports of systems that have been compromised by
  214.    intruders who have gained unauthorized access to root or other
  215.    privileged accounts by exploiting widely known security vulnerabilities
  216.    on systems that did not have appropriate patches installed (and/or
  217.    systems that were running old [unpatched] versions of the operating
  218.    system).
  219.  
  220.    We encourage everyone to check with their vendor(s) regularly for
  221.    updates or new patches that relate to their systems, and install
  222.    security-related patches as soon as they are available.
  223.  
  224.    For a list of additional suggestions on recovering from a UNIX root
  225.    compromise, see
  226.  
  227.  ftp://info.cert.org/pub/tech_tips/root_compromise
  228.  
  229.  
  230. 2. Compromised user-level accounts that are leveraged to gain further access.
  231.  
  232.    We receive daily reports of compromised accounts that have been used to
  233.    launch attacks against other sites, and/or have been used to gain
  234.    privileged access on vulnerable systems.
  235.  
  236.    We encourage you to check your systems regularly (in accordance
  237.    with your site policies and guidelines) for any signs of unauthorized
  238.    accesses or suspicious activity.
  239.  
  240.    For a list of suggestions on how to determine whether your system may
  241.    have been compromised, see
  242.  
  243.  ftp://info.cert.org/pub/tech_tips/intruder_detection_checklist
  244.  
  245.  
  246. 3. Packet sniffers and Trojan horse programs
  247.  
  248.    We continue to receive almost daily incident reports about intruders who
  249.    have installed packet sniffers on root-compromised systems. These
  250.    sniffers, used to collect account names and passwords, are frequently
  251.    installed as part of a widely-available kit that also replaces common
  252.    system files with Trojan horse programs. The Trojan horse binaries
  253.    (du, ls, ifconfig, netstat, login, ps, etc.) hide the intruders'
  254.    files and sniffer activity on the system on which they are installed.
  255.  
  256.    For further information and methods for detecting packet sniffers and
  257.    Trojan horse binaries, see the following files:
  258.  
  259.  ftp://info.cert.org/pub/cert_advisories/CA-94:01.network.monitoring.attacks
  260.  
  261.  ftp://info.cert.org/pub/cert_advisories/CA-94:05.MD5.checksums
  262.  
  263.  
  264. 4. IP spoofing attacks
  265.  
  266.    We continue to receive several reports each week of IP spoofing
  267.    attacks. Intruders attack by using automated tools that are becoming
  268.    widespread on the Internet. Some sites incorrectly believed that they
  269.    were blocking such spoofed packets, and others planned to block them but
  270.    hadn't yet done so.
  271.  
  272.    For further information on this type of attack and how to prevent it,
  273.    see
  274.  
  275.  ftp://info.cert.org/pub/cert_advisories/CA-95:01.IP.spoofing
  276.  
  277.  
  278. 5. Software piracy
  279.  
  280.    We receive new reports each week about compromised accounts and/or
  281.    poorly configured anonymous FTP servers that are being used for
  282.    exchanging pirated software. While the compromised accounts should be
  283.    addressed as a separate security issue (see item 2, above), the abuse of
  284.    anonymous FTP areas for software piracy activities can be reduced if the
  285.    anonymous FTP service is correctly configured and administered.
  286.  
  287.    For related information and guidelines for configuring anonymous FTP,
  288.    see
  289.  
  290.  ftp://info.cert.org/pub/cert_advisories/CA-93:10.anonymous.FTP.activity
  291.  
  292.  
  293. 6. Sendmail attacks
  294.  
  295.    We still receive new reports each week about intruders attempting to
  296.    exploit vulnerabilities in the sendmail program mailer facility.
  297.    Unfortunately, some of these attacks have been successful against sites
  298.    that are running old versions of sendmail and/or are not restricting the
  299.    sendmail program mailer facility. Sendmail's program mailer facility can
  300.    be restricted by using the sendmail restricted shell program (smrsh).
  301.  
  302.    Information on known sendmail vulnerabilities and the smrsh tool can be
  303.    obtained from
  304.  
  305.  ftp://info.cert.org/pub/cert_advisories/CA-93:16.sendmail.vulnerability
  306.  ftp://info.cert.org/pub/cert_advisories/CA-93:16a.sendmail.vulnerability.supplement
  307.  
  308.  ftp://info.cert.org/pub/cert_advisories/CA-95:05.sendmail.vulnerabilities
  309.  
  310.  ftp://info.cert.org/pub/cert_advisories/CA-95:08.sendmail.v.5.vulnerability
  311.  
  312.  ftp://info.cert.org/pub/cert_advisories/CA-95:11.sun.sendmail-oR.vul
  313.  
  314.  ftp://info.cert.org/pub/cert_advisories/CA-95:13.syslog.vul
  315.  
  316.  
  317.    The smrsh program can be obtained from:
  318.  
  319.  ftp://info.cert.org/pub/tools/smrsh/
  320.  
  321.    smrsh is also included in the sendmail 8.7.5 distribution.
  322.  
  323.  
  324. 7. NFS and NIS attacks, and automated tools to scan for vulnerabilities
  325.  
  326.    We receive weekly reports of intruders using automated tools to scan
  327.    sites for hosts that may be vulnerable to NFS and NIS attacks.
  328.    Intruders are continuing to exploit the rpc.ypupdated vulnerability to
  329.    gain root access, and intruders are still exploiting widely known
  330.    vulnerabilities in NFS to gain root access.
  331.  
  332.    For related information, see
  333.  
  334.  ftp://info.cert.org/pub/cert_advisories/CA-95:17.rpc.ypupdated.vul
  335.  
  336.  ftp://info.cert.org/pub/cert_advisories/CA-94:15.NFS.Vulnerabilities
  337.  
  338.  ftp://info.cert.org/pub/cert_advisories/CA-92:13.SunOS.NIS.vulnerability
  339.  
  340.  
  341. What's New at the CERT Coordination Center
  342. - ------------------------------------------
  343.  
  344. The CERT Coordination Center has a new Web site. It includes
  345. information on Internet security and has a link to the CERT FTP
  346. archive.
  347.  
  348.  http://www.cert.org
  349.  
  350.  
  351. What's New in the CERT FTP Archive
  352. - ----------------------------------
  353. We have made the following changes since the last CERT Summary (January 23,
  354. 1996). 
  355.  
  356. * New Additions
  357.  
  358. ftp://info.cert.org/pub
  359.  
  360.      incident_reporting_form v.3    (replaced v.2 with v.3)
  361.  
  362. ftp://info.cert.org/pub/cert_advisories
  363.  
  364.      CA-96.01.UDP_service_denial
  365.      CA-96.02.bind
  366.      CA-96.03.kerberos_4_key_server
  367.      CA-96.04.corrupt_info_from_servers
  368.      CA-96.05.java_applet_security_mgr
  369.      CA-96.06.cgi_example_code
  370.  
  371. ftp://info.cert.org/pub/cert_bulletins
  372.  
  373.      VB-96.01.splitvt
  374.      VB-96.02.sgi
  375.      VB-96.03.sun
  376.      VB-96.04.bsdi
  377.  
  378. ftp://info.cert.org/pub/FIRST
  379.  
  380.      conference.info
  381.  
  382. ftp://info.cert.org/pub/tech_tips
  383.  
  384.      root_compromise     
  385.  
  386. ftp://info.cert.org/pub/tools
  387.  
  388.      /cpm/*                         (replaced older version with v.1.2)
  389.      /sendmail/sendmail.8.7.5       (replaced older version)
  390.      /tcp_wrappers/tcp_wrappers_7.3 (replaced older version)
  391.      /sendmail/smrsh/*              (replaced older vsersion with v.8.4)
  392.  
  393. ftp://info.cert.org/pub/vendors
  394.  
  395.      /sgi/SGI_contact_info
  396.  
  397.  
  398. * Updated Files 
  399.  
  400. ftp://info.cert.org/pub
  401.  
  402.      cert_faq            (version 10.2)
  403.  
  404. ftp://info.cert.org/pub/cert_advisories
  405.  
  406.      CA-94:01     (added info about cpm v.1.2)
  407.      CA-95:13     (added info from sendmail author and Cray; added
  408.                           info from HP and Sun)
  409.      CA-95:14     (added info from NEC Corp and Silicon Graphics)
  410.      CA-95:17     (added info from IBM)
  411.      CA-96.01     (new URL for Argus; added info from Silicon Graphics)
  412.      CA-96.02     (added info from IBM, Solbourne, and Silicon 
  413.                           Graphics)
  414.      CA-96.03     (added new checksums and patch info; added
  415.                           info from Transarc and TGV Software, Inc.)
  416.      CA-96.04     (added info from Silicon Graphics)
  417.      CA-96.05     (added pointer to Netscape 2.01)
  418.      rdist-patch-status  (added pointer to version 6.1.2)
  419.  
  420. ftp://info.cert.org/pub/vendors
  421.  
  422.      /hp/HP.contact.info
  423.  
  424.  
  425. - ---------------------------------------------------------------------------
  426. How to Contact the CERT Coordination Center
  427.  
  428.  
  429. Email    cert@cert.org 
  430.  
  431. Phone    +1 412-268-7090 (24-hour hotline) 
  432.                 CERT personnel answer 8:30-5:00 p.m. EST
  433.                 (GMT-5)/EDT(GMT-4), and are on call for
  434.                 emergencies during other hours. 
  435.  
  436. Fax      +1 412-268-6989
  437.  
  438. Postal address
  439.         CERT Coordination Center
  440.         Software Engineering Institute
  441.         Carnegie Mellon University
  442.         Pittsburgh PA 15213-3890
  443.         USA
  444.  
  445. URLs:   http://www.cert.org/
  446.         ftp://info.cert.org/pub/
  447.  
  448. To be added to our mailing list for CERT advisories and bulletins, send your
  449. email address to 
  450.         cert-advisory-request@cert.org
  451.  
  452. CERT advisories and bulletins are posted on the USENET news group
  453.          comp.security.announce
  454.  
  455. If you wish to send sensitive incident or vulnerability information to CERT
  456. staff by electronic mail, we strongly advise you to encrypt your message.
  457. We can support a shared DES key or PGP. Contact the CERT staff for more
  458. information. 
  459.  
  460. Location of CERT PGP key
  461.          ftp://info.cert.org/pub/CERT_PGP.key
  462.  
  463. - ---------------------------------------------------------------------------
  464. Copyright 1996 Carnegie Mellon University
  465. This material may be reproduced and distributed without permission provided
  466. it is used for noncommercial purposes and credit is given to the CERT
  467. Coordination Center.
  468.  
  469. CERT is a service mark of Carnegie Mellon University.
  470.  
  471.  
  472.  
  473.  
  474.  
  475.  
  476. -----BEGIN PGP SIGNATURE-----
  477. Version: 2.6.2
  478.  
  479. iQCVAwUBMhCtFXVP+x0t4w7BAQGqMwP8Da/27XOhG+hWDqO69XiYxTXFQUrDPkKz
  480. 5KaHbMjEKnCj1pu1zt71cNdxCj6zz4fpfRxGqPdORkwLvl7glgWjxtW3bhRJVje3
  481. ytdb8Us0fLwQ+zZnkfgkTJa5MNwCLGwF3ntLpupWH+9yJBZd5taZ+rIleb12tRFb
  482. Jw7H7y2bNjM=
  483. =YDeN
  484. -----END PGP SIGNATURE-----
  485.  
  486.  
  487.  
  488. -----BEGIN PGP SIGNED MESSAGE-----
  489.  
  490. - ---------------------------------------------------------------------------
  491. CERT(sm) Summary CS-96.03
  492. May 22, 1996
  493.  
  494. The CERT Coordination Center periodically issues the CERT Summary to
  495. draw attention to the types of attacks currently being reported to our
  496. Incident Response Team. The summary includes pointers to sources of
  497. information for dealing with the problems. We also list new or updated
  498. files that are available for anonymous FTP from
  499.      ftp://info.cert.org/pub/
  500.  
  501. Past CERT Summaries are available from
  502.      ftp://info.cert.org/pub/cert_summaries/
  503.  
  504. We have changed the way we sign CERT publications.
  505. Before May 20, 1996, we put our PGP signature in a separate .asc file,
  506. which was available for anonymous FTP.
  507.  
  508. As of May 20, 1996, the CERT PGP signature is in the document itself.
  509. CS-96.03 (this summary), VB-96.06, and VB-96.07 are signed this way. The first
  510. advisory to be signed this way will be CA-96.10, which has not yet been
  511. released.
  512.  
  513. In addition, we have removed the .asc files from past publications and
  514. re-signed them in the text.
  515.  
  516. You can get the CERT public key from PGP Public Key Servers and from
  517.      ftp://info.cert.org/pub/CERT_PGP.key
  518. - ---------------------------------------------------------------------------
  519.  
  520. Recent Activity
  521. - ---------------
  522.  
  523. Since the March CERT Summary, we have seen these continuing trends in
  524. incidents reported to us.
  525.  
  526. 1. Password files and cracking
  527.  
  528. We have seen an increase in incidents in which intruders obtain
  529. password files from sites and then try to compromise accounts by
  530. cracking passwords. Once intruders gain access to a user account, they
  531. attempt to gain root access through a cracked root password or by
  532. exploiting another vulnerability.
  533.  
  534. These incidents point to the need for system administrators to address
  535. three areas:
  536.  
  537.         - Protect your password file so an intruder cannot obtain a
  538.           copy of it.
  539.  
  540.         - Ensure that good passwords are selected so that they cannot
  541.           easily be cracked, or use a technology where passwords
  542.           are not located in the password file.
  543.  
  544.         - Ensure that you are up to date with security patches and
  545.           workarounds and watch for unusual activity.
  546.  
  547. To learn more about these problems, see the following file:
  548.  
  549. ftp://info.cert.org/pub/tech_tips/passwd_file_protection
  550.  
  551.  
  552. 2. Linux machines
  553.  
  554. We have seen an increase in break-ins and root compromises of Linux
  555. machines. In some cases, the intruders are installing packet sniffers
  556. on Linux machines. If you are use Linux on your machines,
  557. we recommend that you keep up to date with patches and security
  558. workarounds. We also recommend that you review
  559.  
  560. ftp://info.cert.org/pub/cert_advisories/CA-94:01.ongoing.network.monitoring.attacks
  561.  
  562. The advisory describes sniffers, suggests approaches for addressing
  563. the problem, and contains updated information after advisory was
  564. issued.
  565.  
  566. We also recommend that you monitor the Linux newsgroups and mailing
  567. lists for security patches and workarounds. Additionally, a World Wide
  568. Web page that some sites reference is
  569.  
  570. http://bach.cis.temple.edu/linux/linux-security
  571.  
  572. Note that this reference should not be construed as a formal
  573. endorsement of the page or its contents. We are simply including it in
  574. this summary so that our readers are aware of its existence; you may
  575. evaluate it as appropriate to your situation.
  576.  
  577.  
  578. 3. Machines being probed to find known vulnerabilities
  579.  
  580. We continue to get reports of machines being probed for known vulnerabilities.
  581. In many cases, these sites did not have up-to-date security patches and the
  582. machines were compromised at the root level.
  583.  
  584. In some cases, the intruders are using the Internet Security Scanner (ISS).
  585. These intruders frequently use ISS on a large range of IP addresses and then
  586. use the information collected to compromise vulnerable computers.
  587.  
  588. So that you can determine if your machines are vulnerable to the problems that
  589. ISS examines, you may wish to run ISS against your own site (in accordance
  590. with your organization's policies and procedures). ISS is available from
  591.  
  592. ftp://info.cert.org/pub/tools/iss/iss13.tar
  593.  
  594. We also encourage you to take relevant steps discussed in these documents:
  595.  
  596. ftp://info.cert.org/pub/cert_advisories/CA-93:14.Internet.Security.Scanner
  597. ftp://info.cert.org/pub/tech_tips/intruder_detection_checklist
  598. ftp://info.cert.org/pub/tech_tips/packet_filtering
  599.  
  600.  
  601. 4. Mail spoofing and mail bombing
  602.  
  603. We have seen a large increase in the number of reports concerning
  604. email spoofing, bombing, and spamming. To learn more about dealing
  605. with these issues, see the files:
  606.  
  607. ftp://info.cert.org/pub/tech_tips/email_bombing_spamming
  608. ftp://info.cert.org/pub/tech_tips/email_spoofing
  609.  
  610.  
  611.  
  612. What's New in the CERT FTP Archive
  613. - ----------------------------------
  614. We have made the following changes since the last CERT Summary (March 26,
  615. 1996).
  616.  
  617. * New Additions
  618.  
  619. ftp://info.cert.org/pub/cert_advisories/
  620.  
  621.     CA-96.07.java_bytecode_verifier
  622.     CA-96.08.pcnfsd
  623.     CA-96.09.rpc.statd
  624.  
  625. ftp://info.cert.org/pub/cert_bulletins/
  626.  
  627.     VB-96.05.dec
  628.     VB-96.06.freebsd
  629.     VB-96.07.freebsd
  630.  
  631. ftp://info.cert.org/pub/tech_tips
  632.  
  633.     root_compromise
  634.     anonymous_ftp_abuses
  635.     email_bombing_spamming
  636.     email_spoofing
  637.     passwd_file_protection
  638.  
  639.  
  640. * Updated Files
  641.  
  642. ftp://info.cert.org/pub/cert_advisories/
  643.  
  644.     CA-94:04
  645.     CA-94:09
  646.     CA-95:01 (added a pointer to Argus)
  647.     CA-95:13
  648.     CA-96.02
  649.     CA-96.06 (added info from another response team)
  650.     CA-96.07 (added a pointer to Netscape 2.02)
  651.     CA-96.08 (updated fix info that was in the original Appendix B)
  652.     CA-96.09 (added info from TGV/Cisco, a workaround for SunOS 4.s,
  653.                      and a clarification)
  654.     CA-96.13 (added info from the Santa Cruz Operation)
  655.  
  656. ftp://info.cert.org/pub/tech_tips
  657.  
  658.     anonymous_ftp_config (file name changed)
  659.  
  660. ftp://info.cert.org/pub/tools
  661.  
  662.     /ValidateHostname (replaced older version of IsValid.c and updated the
  663.                        README)
  664.  
  665. ftp://info.cert.org/pub/vendors
  666.  
  667.     /sgi/SGI_contact_info (added URL for SGI Security Web pages)
  668.  
  669.  
  670. Keeping Current
  671. - ---------------
  672. Often during the couse of our work, we learn about software upgrades
  673. that fix security problems. In a new section of our FTP archive we
  674. list these upgrades, their sources, and their MD5 checksums.
  675.  
  676. ftp://info.cert.org/pub/latest_sw_versions/
  677.  
  678. If you use any of the software listed in this directory, we recommend
  679. that you upgrade to the current versions. Among other changes, these
  680. new versions address security weaknesses present in previous versions.
  681.  
  682. If you have any questions about the software listed in this directory,
  683. please contact the vendor for more information.
  684.  
  685.  
  686. - ---------------------------------------------------------------------------
  687. How to Contact the CERT Coordination Center
  688.  
  689. Email    cert@cert.org
  690.  
  691. Phone    +1 412-268-7090 (24-hour hotline)
  692.                 CERT personnel answer 8:30-5:00 p.m. EST
  693.                 (GMT-5)/EDT(GMT-4), and are on call for
  694.                 emergencies during other hours.
  695.  
  696. Fax      +1 412-268-6989
  697.  
  698. Postal address
  699.         CERT Coordination Center
  700.         Software Engineering Institute
  701.         Carnegie Mellon University
  702.         Pittsburgh PA 15213-3890
  703.         USA
  704.  
  705. To be added to our mailing list for CERT advisories and bulletins, send your
  706. email address to
  707.         cert-advisory-request@cert.org
  708.  
  709. CERT advisories and bulletins are posted on the USENET news group
  710.          comp.security.announce
  711.  
  712. CERT publications, information about FIRST representatives, and other
  713. security-related information are available for anonymous FTP from
  714.         http://www.cert.org/
  715.         ftp://info.cert.org/pub/
  716.  
  717. If you wish to send sensitive incident or vulnerability information to CERT
  718. staff by electronic mail, we strongly advise you to encrypt your message.
  719. We can support a shared DES key or PGP. Contact the CERT staff for more
  720. information.
  721.  
  722. Location of CERT PGP key
  723.          ftp://info.cert.org/pub/CERT_PGP.key
  724.  
  725. - ---------------------------------------------------------------------------
  726. Copyright 1996 Carnegie Mellon University
  727. This material may be reproduced and distributed without permission provided
  728. it is used for noncommercial purposes and credit is given to the CERT
  729. Coordination Center.
  730.  
  731. CERT is a service mark of Carnegie Mellon University.
  732.  
  733. -----BEGIN PGP SIGNATURE-----
  734. Version: 2.6.2
  735.  
  736. iQCVAwUBMhCtvnVP+x0t4w7BAQGPxwP+OXm4mGzeNJ5boL2GLh/ba8PaLlW0YE5q
  737. d43gdRhmSuT66PtOwrCG9zqwhuomHbRKTbifS9KVVfWDQaDUtGYEAuEWFL9CT0D4
  738. /qh3RO7TrBiQ2sgZoakOpdXXkc3qjqrj9voMk/N9dPWd8WiVxp3Ujzc26sadxydB
  739. 9G8fLVqEYW4=
  740. =DEop
  741. -----END PGP SIGNATURE-----
  742.  
  743.  
  744.  
  745. -----BEGIN PGP SIGNED MESSAGE-----
  746.  
  747. - ----------------------------------------------------------------------------
  748. CERT(sm) Summary CS-96.04
  749. July 23, 1996
  750.  
  751. The CERT Coordination Center periodically issues the CERT Summary to
  752. draw attention to the types of attacks currently being reported to our
  753. Incident Response Team. The summary includes pointers to sources of
  754. information for dealing with the problems. We also list new or updated
  755. files that are available for anonymous FTP from
  756.      ftp://info.cert.org/pub/
  757.  
  758. Past CERT Summaries are available from
  759.      ftp://info.cert.org/pub/cert_summaries/
  760. - ---------------------------------------------------------------------------
  761.  
  762.  
  763. Increasing Sophistication of Intruder Community Expertise
  764. - ---------------------------------------------------------
  765.  
  766. In earlier summaries, we noted that the intruder community was
  767. analyzing operating system source code to develop increasingly
  768. sophisticated and effective exploitation techniques. The intruder
  769. community is now developing new techniques to analyze programs for
  770. potential vulnerabilities even in the absence of source code. This can
  771. be done with a tool that traces system calls and subroutine calls
  772. within a program, thus allowing a person to match such calls against
  773. command line parameters.
  774.  
  775. Although there is little that sites can do in direct response to this
  776. information, it does highlight the importance of staying up to date
  777. with security patches and workarounds for your operating systems and
  778. applications.
  779.  
  780.  
  781. Operating System Concerns
  782. - -------------------------
  783.  
  784. We receive reports relating to incident activity from many different
  785. sites using a wide variety of operating systems. Because of problems
  786. we see that directly relate to operating systems, we felt it
  787. worthwhile to make a few observations about choosing an operating
  788. system. For information on this subject, see
  789.  
  790.   ftp://info.cert.org/pub/tech_tips/choose_operating_sys
  791.  
  792.  
  793. Forged Advisories
  794. - -----------------
  795.  
  796. Occasionally, we see forged advisories on various newsgroups or other
  797. distribution lists. If you have the Pretty Good Privacy (PGP) program,
  798. you can determine whether or not an advisory is genuine by checking
  799. the PGP signature.
  800.  
  801. We use PGP to sign all our advisories. To verify that a CERT advisory
  802. is authentic,
  803.  
  804.   1. Get the CERT public key from
  805.  
  806.        ftp://info.cert.org/pub/CERT_PGP.key
  807.  
  808.   2. Verify the authenticity of the document by checking the PGP
  809.      signature. To do this, enter the following command:
  810.  
  811.        %pgp <filename>
  812.  
  813.      You should see a message that includes the statement
  814.  
  815.        Good signature from user "CERT Coordination Center <cert@cert.org>".
  816.        Signature made <date>
  817.  
  818.  
  819.  
  820. Recent Activity and Trends
  821. - --------------------------
  822.  
  823. Since the May CERT Summary, we have seen these continuing trends in
  824. incidents reported to us.
  825.  
  826. 1. Linux root compromises
  827.  
  828. At least once a week we see reports of Linux machines that suffer
  829. break-ins leading to root compromises. In many of these incidents, the
  830. systems were misconfigured, and/or the intruders exploited well-known
  831. vulnerabilities (for which CERT advisories have been published); the
  832. intruders then installed Trojan horse programs and/or network
  833. monitoring programs (packet sniffers).
  834.  
  835. If you are running Linux, we strongly urge you to keep up to date with
  836. patches and security workarounds. We recommend that you also review
  837.  
  838.   ftp://info.cert.org/pub/cert_advisories/CA-94:01.network.monitoring.attacks
  839.  
  840. Further, you may want to monitor the Linux newsgroups and mailing
  841. lists for security patches and workarounds. More information can be
  842. found at
  843.  
  844.   http://bach.cis.temple.edu/linux/linux-security/
  845.  
  846.  
  847. 2. Telnetd in Linux systems
  848.  
  849. We have noticed an increase in the exploitation of a vulnerability in
  850. the telnetd environment on unpatched Linux-based systems. If you have
  851. not patched your system(s) for this vulnerability, we urge you to
  852. review CERT advisory CA-95:14 and install the patch or workaround
  853. provided.
  854.  
  855.   ftp://info.cert.org/pub/cert_advisories/CA-95:14.Telnetd_Environment_Vulnerability
  856.  
  857.  
  858. 3. Password Cracking
  859.  
  860. We continue to receive daily reports of unauthorized site access as a
  861. result of compromised accounts and/or "cracked" passwords. For
  862. information about protecting your password files, please see
  863.  
  864.   ftp://info.cert.org/pub/tech_tips/passwd_file_protection
  865.  
  866.  
  867. 4. Sendmail attacks
  868.  
  869. Although discussed in previous summaries, we continue to receive
  870. reports each week about intruders who attempt to exploit sendmail
  871. vulnerabilities. We have published several advisories on sendmail. If
  872. you have not addressed the vulnerabilities in sendmail, we urge you to
  873. review these advisories and take appropriate action. All advisories,
  874. including sendmail advisories, can be found at
  875.  
  876.   ftp://info.cert.org/pub/cert_advisories/
  877.  
  878. In many of these attempts, intruders are trying to obtain
  879. password files. For information on protecting your password files, see
  880.  
  881.   ftp://info.cert.org/pub/tech_tips/passwd_file_protection
  882.  
  883. We have had many questions about when to use the sendmail restricted
  884. shell program (smrsh). You should run smrsh with any UNIX system that
  885. is running sendmail, regardless of vendor or version.
  886.  
  887. smrsh is now included as part of the current sendmail distribution
  888. (effective with version 8.7.1). We strongly urge you to upgrade to the
  889. latest version of sendmail. See
  890.  
  891.   ftp://info.cert.org/pub/latest_sw_versions/sendmail
  892.  
  893.  
  894. 5. cgi-bin vulnerabilities
  895.  
  896. Since our last summary, we've seen an increase in the number of
  897. reports relating to vulnerabilities in cgi-bin programs. Any cgi-bin
  898. program that relies on escape_shell_cmd() to prevent exploitation of
  899. shell-based library calls may be vulnerable to attack. For more
  900. information about cgi-bin vulnerabilities and patches, please see
  901.  
  902.   ftp://info.cert.org/pub/cert_advisories/CA-96.06.cgi_example_code
  903.  
  904. There have been discussions in several public forums about the problem
  905. of general-purpose interpreters being placed in the cgi-bin directory.
  906. If these interpreters are accessible in the cgi-bin directory of a Web
  907. server, then a remote user can execute any command the interpreters
  908. can execute on that server. For more details and patch information,
  909. see
  910.  
  911.   ftp://info.cert.org/pub/cert_advisories/CA-96.11.interpreters_in_cgi_bin_dir
  912.  
  913.  
  914. 6. Mail spamming/spoofing attacks
  915.  
  916. We receive at least three incidents each week of mail spamming and/or
  917. spoofing attacks. For information on responding to and recovering from such
  918. activity, see
  919.  
  920.   ftp://info.cert.org/pub/tech_tips/email_bombing_spamming
  921.   ftp://info.cert.org/pub/tech_tips/email_spoofing
  922.  
  923.  
  924.  
  925. What's New in the CERT FTP Archive
  926. - ----------------------------------
  927.  
  928. We have made the following changes since the last CERT Summary (May 22, 1996).
  929.  
  930.  
  931. * New Additions
  932.  
  933. ftp://info.cert.org/pub/cert_advisories/
  934.  
  935.     CA-96.10.nis+_configuration
  936.     CA-96.11.interpreters_in_cgi_bin_dir
  937.     CA-96.12.suidperl_vul
  938.     CA-96.13.dip_vul
  939.  
  940. ftp://info.cert.org/pub/cert_bulletins/
  941.  
  942.     VB-96.08.sgi
  943.     VB-96.09.freebsd
  944.     VB-96.10.sco
  945.     VB-96.11.freebsd
  946.  
  947. ftp://info.cert.org/pub/tech_tips/
  948.  
  949.     choose_operating_sys                Things to consider when choosing an
  950.                                         operating system for your site
  951.  
  952. ftp://info.cert.org/pub/tools/
  953.  
  954.     ifstatus                            Added the ifstatus program
  955.  
  956. ftp://info.cert.org/pub/vendors/
  957.  
  958.     sun/sun_bulletin_00135              Added bulletin from Sun
  959.                                         Microsystems, Inc.
  960.  
  961.     dec/dec-96.0383                     Added bulletin from Digital
  962.                                         Equipment Corporation
  963.  
  964.  
  965. * Updated Files
  966.  
  967. ftp://info.cert.org/pub/cert_advisories/
  968.  
  969.     CA-95:13                            Added vendor information for Digital
  970.                                         Equipment Corporation and Silicon
  971.                                         Graphics, Inc.
  972.  
  973.     CA-96.04                            Added information about the next
  974.                                         release of BIND
  975.  
  976.     CA-96.08                            Added vendor information for Digital
  977.                                         Equipment Corporation, NEC
  978.                                         Corporation, and Data Design Systems,
  979.                                         Inc. Added patch information for
  980.                                         FreeBSD, Inc.
  981.  
  982.     CA-96.09                            Added vendor information for Digital
  983.                                         Equipment Corporation. Added pointers
  984.                                         to Silicon Graphics, Inc. release notes
  985.                                         and Sun Microsystems, Inc. patches
  986.  
  987.     CA-96.12                            Added vendor information for FreeBSD,
  988.                                         NEC Corporation, and Digital Equipment
  989.                                         Corporation
  990.  
  991. ftp://info.cert.org/pub/FIRST/
  992.  
  993.     first-contacts                      Updated contact information
  994.  
  995.  
  996. ftp://info.cert.org/pub/latest_sw_versions/
  997.  
  998.     bind                                Added pointer to version 4.9.4
  999.     ifstatus                            Added pointer to ifstatus
  1000.  
  1001. If you use any of the software listed in this directory, we recommend
  1002. that you upgrade to the current versions. Among other changes, these
  1003. new versions address security weaknesses present in previous versions.
  1004.  
  1005. If you have any questions about the software listed in this directory,
  1006. please contact the vendor for more information.
  1007.  
  1008.  
  1009. - ---------------------------------------------------------------------------
  1010. How to Contact the CERT Coordination Center
  1011.  
  1012. Email    cert@cert.org
  1013.  
  1014. Phone    +1 412-268-7090 (24-hour hotline)
  1015.                 CERT personnel answer 8:30-5:00 p.m. EST
  1016.                 (GMT-5)/EDT(GMT-4), and are on call for
  1017.                 emergencies during other hours.
  1018.  
  1019. Fax      +1 412-268-6989
  1020.  
  1021. Postal address
  1022.         CERT Coordination Center
  1023.         Software Engineering Institute
  1024.         Carnegie Mellon University
  1025.         Pittsburgh PA 15213-3890
  1026.         USA
  1027.  
  1028. To be added to our mailing list for CERT advisories and bulletins, send your
  1029. email address to
  1030.         cert-advisory-request@cert.org
  1031.  
  1032. CERT advisories and bulletins are posted on the USENET news group
  1033.          comp.security.announce
  1034.  
  1035. CERT publications, information about FIRST representatives, and other
  1036. security-related information are available for anonymous FTP from
  1037.         http://www.cert.org/
  1038.         ftp://info.cert.org/pub/
  1039.  
  1040. If you wish to send sensitive incident or vulnerability information to CERT
  1041. staff by electronic mail, we strongly advise you to encrypt your message.
  1042. We can support a shared DES key or PGP. Contact the CERT staff for more
  1043. information.
  1044.  
  1045. Location of CERT PGP key
  1046.          ftp://info.cert.org/pub/CERT_PGP.key
  1047.  
  1048. - ---------------------------------------------------------------------------
  1049. Copyright 1996 Carnegie Mellon University
  1050. This material may be reproduced and distributed without permission provided
  1051. it is used for noncommercial purposes and credit is given to the CERT
  1052. Coordination Center.
  1053.  
  1054. CERT is a service mark of Carnegie Mellon University.
  1055.  
  1056. -----BEGIN PGP SIGNATURE-----
  1057. Version: 2.6.2
  1058.  
  1059. iQCVAwUBMhCusnVP+x0t4w7BAQF2YAQAzS5ioLEfcEmbAkqldMFuIK22VhyDHF1j
  1060. 2oDoYNEoXVbxvCG4P2hsQBfLY7gYPDBcQmAtQENre4KgewCChhvcwOLYtHHXWH/j
  1061. kwNZbmU4ymPFB4VpJ8VuMDvkWXid7loNbYGaxohUsp3tMM8LubmeAMYgFtt5ot2y
  1062. wZR8k/9jwzo=
  1063. =BZOQ
  1064. -----END PGP SIGNATURE-----
  1065.  
  1066.  
  1067. -----BEGIN PGP SIGNED MESSAGE-----
  1068.  
  1069. CERT(sm) Summary CS-96.05
  1070. September 24, 1996
  1071.  
  1072. The CERT Coordination Center periodically issues the CERT Summary to
  1073. draw attention to the types of attacks currently being reported to our
  1074. Incident Response Team. The summary includes pointers to sources of
  1075. information for dealing with the problems. We also list new or updated
  1076. files that are available for anonymous FTP from
  1077.      ftp://info.cert.org/pub/
  1078.  
  1079. Past CERT Summaries are available from
  1080.      ftp://info.cert.org/pub/cert_summaries/
  1081. - ---------------------------------------------------------------------------
  1082.  
  1083.  
  1084. Clarification to CS-96.04
  1085. - -------------------------
  1086.  
  1087. In our previous CERT Summary, we said that the intruder community is
  1088. developing new techniques and tools to analyze programs for potential
  1089. vulnerabilities even in the absence of source code. We did not mean to imply
  1090. that all developers of these techniques in the wider technical community are
  1091. members of the intruder community, nor that they intend their work to be used
  1092. by the intruder community.
  1093.  
  1094.  
  1095. Recent Activity and Trends
  1096. - --------------------------
  1097.  
  1098. Since the July CERT Summary, we have noticed these trends in incidents
  1099. reported to us.
  1100.  
  1101. 1. Denial of Service Attacks
  1102.  
  1103. Instructions for executing denial-of-service attacks and programs to
  1104. implement such attacks have recently been widely distributed. Since
  1105. this information was published, we have noticed a significant and
  1106. rapid increase in the number of denial-of-service attacks executed
  1107. against sites.
  1108.  
  1109. To learn more about denial-of-service attacks and how to limit them,
  1110. see
  1111.  
  1112.   ftp://info.cert.org/pub/cert_advisories/CA-96.21.tcp_syn_flooding
  1113.  
  1114. To monitor and log an attack, you can use a tool such as Argus. For
  1115. more information regarding Argus, see
  1116.  
  1117.   ftp://info.cert.org/pub/tech_tips/security_tools
  1118.  
  1119.  
  1120. 2. Continuing Linux Exploitations
  1121.  
  1122. We continue to see incidents in which Linux machines are the victims
  1123. of break-ins leading to root compromises. In many of these incidents,
  1124. the systems were misconfigured and/or the intruders exploited
  1125. well-known vulnerabilities for which CERT advisories have been
  1126. published.
  1127.  
  1128. If you are running Linux, we strongly urge you to keep up to date with
  1129. patches and security workarounds. We also recommend that you review
  1130.  
  1131.   ftp://info.cert.org/pub/cert_advisories/CA-94:01.network.monitoring.attacks
  1132.   ftp://info.cert.org/pub/tech_tips/root_compromise
  1133.  
  1134. Further, you may want to monitor the Linux newsgroups and mailing
  1135. lists for security patches and workarounds. More information can be
  1136. found at
  1137.  
  1138.   http://bach.cis.temple.edu/linux/linux-security/
  1139.  
  1140.  
  1141. 3. PHF Exploits
  1142.  
  1143. At least weekly, and often daily, we see reports of password files
  1144. being obtained illegally by intruders who have exploited a
  1145. vulnerability in the PHF cgi-bin script. The script is installed by
  1146. default with several implementations of httpd servers, and it contains
  1147. a weakness that allows intruders to retrieve the password file for the
  1148. machine running the httpd server. The vulnerability is described in
  1149.  
  1150.   ftp://info.cert.org/pub/cert_advisories/CA-96.06.cgi_example_code
  1151.  
  1152. Once the intruders retrieve the password file, they may attempt to
  1153. crack the passwords found in the file. For information about
  1154. protecting your password files, please see
  1155.  
  1156.   ftp://info.cert.org/pub/tech_tips/passwd_file_protection
  1157.  
  1158.  
  1159. 4. Software Piracy
  1160.  
  1161. We have received frequent reports regarding software piracy since the
  1162. last CERT Summary was issued. Although software piracy is beyond the
  1163. scope of the mission of the CERT Coordination Center, it is often
  1164. associated with compromised hosts or accounts because intruders
  1165. sometimes use compromised hosts to distribute pirated software. News
  1166. of illegal collections of software circulates quickly within the
  1167. underground community, which may focus unwanted attention on a site
  1168. used for software piracy.
  1169.  
  1170. We encourage you to periodically check your systems for signs of
  1171. software piracy. To learn more, please examine our relevant tech tips:
  1172.  
  1173.   ftp://info.cert.org/pub/tech_tips/anonymous_ftp_abuses
  1174.   ftp://info.cert.org/pub/tech_tips/anonymous_ftp_config
  1175.  
  1176. To learn more about detecting and preventing security breaches, please see
  1177.  
  1178.   ftp://info.cert.org/pub/tech_tips/intruder_detection_checklist
  1179.  
  1180.  
  1181.  
  1182. - ----------------------------------
  1183. What's New in the CERT FTP Archive
  1184. - ----------------------------------
  1185. We have made the following changes since the last CERT Summary (July 23,
  1186. 1996).
  1187.  
  1188. * README Files Incorporated into Advisories
  1189.  
  1190. As of August 30, 1996, we no longer put advisory updates into README files. We
  1191. now revise the advisories themselves. In addition, we have updated past
  1192. advisories with information from their README files. We urge you to check
  1193. advisories regularly for updates that relate to your site.
  1194.  
  1195. * New Additions
  1196.  
  1197. ftp://info.cert.org/pub/cert_advisories/
  1198.  
  1199.     CA-96.14.rdist_vul
  1200.     CA-96.15.Solaris_KCMS_vul
  1201.     CA-96.16.Solaris_admintool_vul
  1202.     CA-96.17.Solaris_vold_vul
  1203.     CA-96.18.fm_fls
  1204.     CA-96.19.expreserve
  1205.     CA-96.20.sendmail_vul
  1206.     CA-96.21.tcp_syn_flooding
  1207.  
  1208. ftp://info.cert.org/pub/cert_bulletins/
  1209.  
  1210.     VB-96.12.freebsd
  1211.     VB-96.13.hp
  1212.     VB-96.14.sgi
  1213.     VB-96.15.sco
  1214.     VB-96.16.transarc
  1215.  
  1216. ftp://info.cert.org/pub/latest_sw_versions
  1217.  
  1218.     swatch
  1219.  
  1220. ftp://info.cert.org/pub/tech_tips
  1221.  
  1222.     UNIX_configuration_guidelines       These replace the security_info file
  1223.     intruder_detection_checklist        (the CERT Security Checklist).
  1224.     security_tools
  1225.  
  1226. ftp://info.cert.org/pub/vendors/
  1227.  
  1228.     hp/HPSBUX9607-033                   Added Hewlett-Packard bulletin about a
  1229.                                         security vulnerability in expreserve.
  1230.  
  1231.  
  1232.  
  1233. * Updated Files
  1234.  
  1235. ftp://info.cert.org/pub/cert_advisories/
  1236.  
  1237.     CA-96.02.bind                       In the appendix, updated Sun
  1238.                                         Microsystems, Inc. patch information.
  1239.                                         In section I, added information about
  1240.                                         the next release of bind and the
  1241.                                         IsValid program.
  1242.  
  1243.     CA-96.08.pcnfsd                     Updated URL for IBM Corporation,
  1244.                                         updated Hewlett-Packard Company patch
  1245.                                         information, and modified NEC
  1246.                                         Corporation patch information.
  1247.  
  1248.     CA-96.09.rpc.statd                  Updated URL for IBM Corporation,
  1249.                                         removed a workaround for SunOS 4.x
  1250.                                         (patches now available), updated
  1251.                                         information on Hewlett-Packard
  1252.                                         Company, and added patch information
  1253.                                         for NEC Corporation. Also updated
  1254.                                         opening paragraph.
  1255.  
  1256.     CA-96.14.rdist_vul                  In Appendix A, added note under
  1257.                                         Silicon Graphics, Inc. about using the
  1258.                                         find command, updated the
  1259.                                         Hewlett-Packard Company entry, added
  1260.                                         information about Digital Equipment
  1261.                                         Corporation, and added an IBM
  1262.                                         Corporation URL.
  1263.  
  1264.     CA-96.15.Solaris_KCMS_vul           In Introduction, added information
  1265.                                         about Solaris 2.5.1.
  1266.  
  1267.     CA-96.18.fm_fls                     Added vendor information to Appendix A.
  1268.                                         Added Section III.B, which provides
  1269.                                         another possible solution to the
  1270.                                         problem.
  1271.  
  1272.     CA-96.19.expreserve                 In Appendix A, added information for
  1273.                                         Silicon Graphics Inc. and Sun
  1274.                                         Microsystems, Inc.
  1275.  
  1276.     CA-96.20.sendmail_vul               Added to Sec. III.B instructions on
  1277.                                         configuring sendmail at sites that use
  1278.                                         '&' in the gecos filed of /etc/passwd.
  1279.                                         Added to Sec. III.C a note on uid for
  1280.                                         "mailnull" user. In the appendix, added
  1281.                                         information from FreeBSD, Inc. and
  1282.                                         Berkeley Software Design, Inc. (BSDI).
  1283.  
  1284. ftp://info.cert.org/pub/FIRST
  1285.  
  1286.     first-contacts
  1287.  
  1288. ftp://info.cert.org/pub/latest_sw_versions
  1289.  
  1290.     rdist-patch-status                  Updated information for
  1291.                                         Hewlett-Packard Company and NeXT
  1292.                                         Software, Inc. information. Updated
  1293.                                         rdist version information in
  1294.                                         Section II.G.
  1295.     sendmail
  1296.  
  1297.  
  1298. ftp://info.cert.org/pub/tech_tips
  1299.  
  1300.     root_compromise
  1301.  
  1302.  
  1303.  
  1304. - ---------------------------------------------------------------------------
  1305. How to Contact the CERT Coordination Center
  1306.  
  1307. Email    cert@cert.org
  1308.  
  1309. Phone    +1 412-268-7090 (24-hour hotline)
  1310.                 CERT personnel answer 8:30-5:00 p.m. EST
  1311.                 (GMT-5)/EDT(GMT-4), and are on call for
  1312.                 emergencies during other hours.
  1313.  
  1314. Fax      +1 412-268-6989
  1315.  
  1316. Postal address
  1317.         CERT Coordination Center
  1318.         Software Engineering Institute
  1319.         Carnegie Mellon University
  1320.         Pittsburgh PA 15213-3890
  1321.         USA
  1322.  
  1323. To be added to our mailing list for CERT advisories and bulletins, send your
  1324. email address to
  1325.         cert-advisory-request@cert.org
  1326.  
  1327. CERT advisories and bulletins are posted on the USENET news group
  1328.          comp.security.announce
  1329.  
  1330. CERT publications, information about FIRST representatives, and other
  1331. security-related information are available for anonymous FTP from
  1332.         http://www.cert.org/
  1333.         ftp://info.cert.org/pub/
  1334.  
  1335. If you wish to send sensitive incident or vulnerability information to CERT
  1336. staff by electronic mail, we strongly advise you to encrypt your message.
  1337. We can support a shared DES key or PGP. Contact the CERT staff for more
  1338. information.
  1339.  
  1340. Location of CERT PGP key
  1341.          ftp://info.cert.org/pub/CERT_PGP.key
  1342.  
  1343. - ---------------------------------------------------------------------------
  1344. Copyright 1996 Carnegie Mellon University
  1345. This material may be reproduced and distributed without permission provided
  1346. it is used for noncommercial purposes and credit is given to the CERT
  1347. Coordination Center.
  1348.  
  1349. CERT is a service mark of Carnegie Mellon University.
  1350.  
  1351.  
  1352. -----BEGIN PGP SIGNATURE-----
  1353. Version: 2.6.2
  1354.  
  1355. iQCVAwUBMkhCfHVP+x0t4w7BAQFR5gQAtYvbKLJAbTzfRizblM9mbl/4oLfnsqdQ
  1356. HcX8KKDNAtVd2DWKGEsq7U7v9w8KyzDtVpRFba8VSsVmpzixzxnbZSifwyfkcuX9
  1357. x2xbQ1SVWBjep399HkbYtS0Y3C0RdCo9p/uxdB5/GkZqD3NMdPoBvFf+j/H6376w
  1358. tDcheNKNobk=
  1359. =DZgd
  1360. -----END PGP SIGNATURE-----
  1361.  
  1362.  
  1363. -----BEGIN PGP SIGNED MESSAGE-----
  1364.  
  1365. CERT(sm) Summary CS-96.6
  1366. November  26, 1996
  1367.  
  1368. The CERT Coordination Center periodically issues the CERT Summary to
  1369. draw attention to the types of attacks currently being reported to our
  1370. Incident Response Team. The summary includes pointers to sources of
  1371. information for dealing with the problems. We also list new or updated
  1372. files that are available for anonymous FTP from
  1373.      ftp://info.cert.org/pub/
  1374.  
  1375. Past CERT Summaries are available from
  1376.      ftp://info.cert.org/pub/cert_summaries/
  1377. - ----------------------------------------------------------------------------
  1378.  
  1379.  
  1380. Recent Activity
  1381. - ---------------
  1382.  
  1383. Since the September CERT Summary, we have noticed these continuing trends
  1384. in incidents reported to us.
  1385.  
  1386. 1. cgi-bin/phf Exploits
  1387.  
  1388. We continue to see frequent reports of attempts to exploit the vulnerability
  1389. in the CGI example program "phf".  The phf program, which is installed by
  1390. default with several implementations of httpd servers, contains a weakness
  1391. that can allow intruders to execute arbitrary commands on the server.  The
  1392. most common attack involves an attempt to retrieve the httpd server's
  1393. /etc/passwd file, and sample scripts for exploiting this vulnerability in phf
  1394. have been widely posted on the Internet.
  1395.  
  1396. While we are encouraged to see that the majority of the recently reported
  1397. attacks have failed (because the attacked sites had already removed the phf
  1398. program), the steady reports of continuing attacks indicate that these phf
  1399. exploits are still being widely attempted.
  1400.  
  1401. For more information about this vulnerability, see
  1402.  
  1403.   ftp://info.cert.org/pub/cert_advisories/CA-96.06.cgi_example_code
  1404.  
  1405. For related information about protecting your password files, please see
  1406.  
  1407.   ftp://info.cert.org/pub/tech_tips/passwd_file_protection
  1408.  
  1409.  
  1410. 2. Continuing Linux Exploits
  1411.  
  1412. We continue to see incidents in which Linux machines have been the victims
  1413. of root compromises. In many of these incidents, the compromised systems
  1414. were unpatched or misconfigured, and the intruders exploited well-known
  1415. vulnerabilities for which CERT advisories have been published.
  1416.  
  1417. If you are running Linux, we strongly urge you to keep current with all
  1418. security patches and workarounds. If your system has been root compromised,
  1419. we also recommend that you review
  1420.  
  1421.   ftp://info.cert.org/pub/tech_tips/root_compromise
  1422.  
  1423. Further, you may want to monitor the Linux newsgroups and mailing lists for
  1424. security patches and workarounds. More information can be found at
  1425.  
  1426.   http://bach.cis.temple.edu/linux/linux-security/
  1427.  
  1428.  
  1429. - ----------------------------------
  1430. What's New in the CERT FTP Archive
  1431. - ----------------------------------
  1432. We have made the following changes since the last CERT Summary (September 24,
  1433. 1996).
  1434.  
  1435. * New Additions
  1436.  
  1437. ftp://info.cert.org/pub/cert_advisories/
  1438.  
  1439.     CA-96.22.bash_vuls                  Addresses two problems with the GNU
  1440.                                         Project's Bourne Again SHell (bash):
  1441.                                         one in yy_string_get() and one in
  1442.                                         yy_readline_get().
  1443.  
  1444.     CA-96.23.workman_vul                Describes a vulnerability in the
  1445.                                         WorkMan compact disc-playing program
  1446.                                         that affects UNIX System V Release 4.0
  1447.                                         and derivatives and Linux systems.
  1448.  
  1449.     CA-96.24.sendmail.daemon.mode       Addresses a vulnerability that allows
  1450.                                         intruders to gain root
  1451.                                         privileges. Includes patch and upgrade
  1452.                                         information.
  1453.  
  1454.  
  1455.  
  1456. ftp://info.cert.org/pub/cert_bulletins/
  1457.  
  1458.     VB-96.17.linux                      Linux Security FAQ Update from
  1459.                                         Alexander Yuriev. Includes information
  1460.                                         about a mount/umount vulnerability.
  1461.  
  1462.     VB-96.18.sun                        Addresses vulnerabilities in the libc
  1463.                                         and libnsl libraries of Solaris 2.5
  1464.                                         (SunOS 5.5) and Solaris 2.5.1
  1465.                                         (SunOS 5.5.1) from Sun Microsystems,
  1466.                                         Inc. Includes patch information.
  1467.  
  1468.  
  1469. ftp://info.cert.org/pub/latest_sw_versions/
  1470.  
  1471.     bash                                Added information on bash 1.14.7.
  1472.  
  1473.     sendmail                            Added information on sendmail 8.8.3.
  1474.  
  1475.  
  1476.  
  1477. * Updated Files
  1478.  
  1479. ftp://info.cert.org/pub/
  1480.  
  1481.     Sysadmin_Tutorial.announcement      Added date of next course offering.
  1482.  
  1483.  
  1484. ftp://info.cert.org/pub/cert_advisories/
  1485.  
  1486.     CA-94:01.ongoing.network.monitoring.attacks
  1487.                                         Clarified introductory
  1488.                                         information. Added a pointer to the
  1489.                                         CERT tech tip on root compromises.
  1490.  
  1491.     CA-95:02.binmail.vulnerabilities    Removed Appendices B & C, which
  1492.                                         contained outdated information. In
  1493.                                         section B, added information that
  1494.                                         mail.local is now part of
  1495.                                         sendmail. Added a pointer to sendmail.
  1496.  
  1497.     CA-96.09.rpc.statd                  Updated information from Silicon
  1498.                                         Graphics Inc.
  1499.  
  1500.     CA-96.20.sendmail_vul               Added a pointer to CA-96.24.
  1501.  
  1502.     CA-96.21.tcp_syn_flooding           Revised second paragraph of
  1503.                                         introduction for clarity. Added new
  1504.                                         information for Silicon Graphics
  1505.                                         Inc. (SGI), Berkeley Software Design,
  1506.                                         Inc. (BSDI), Sun Microsystems, Inc.
  1507.                                         Revised appendix information on
  1508.                                         reserved private network
  1509.                                         numbers. Added pointer to information
  1510.                                         in ftp://info.cert.org/pub/vendors.
  1511.  
  1512.     CA-96.22.bash_vuls                  Added Appendix A containing
  1513.                                         information from IBM Corporation,
  1514.                                         LINUX, and Silicon Graphics,
  1515.                                         Inc. (SGI). Removed patch for problem
  1516.                                         in yy_readline_get, as the problem
  1517.                                         described for yy_string_get is not
  1518.                                         exploitable for yy_readline_get.
  1519.  
  1520.  
  1521. ftp://info.cert.org/pub/tools/mail.local/
  1522.  
  1523.     README                              Added information that mail.local is
  1524.                                         now a part of sendmail. Added a
  1525.                                         pointer to sendmail.
  1526.  
  1527.  
  1528. ftp://info.cert.org/pub/tools/sendmail/
  1529.  
  1530.     sendmail.8.8.3.patch
  1531.     sendmail.8.8.3.tar.Z
  1532.     sendmail.8.8.3.tar.gz
  1533.     sendmail.8.8.3.tar.sig
  1534.  
  1535.  
  1536. ftp://info.cert.org/pub/vendors/hp/
  1537.  
  1538.     HP.contact_info                     Replaced instructions for subscribing
  1539.                                         by email with the new URLs people must
  1540.                                         use.
  1541.  
  1542.  
  1543. - ---------------------------------------------------------------------------
  1544. How to Contact the CERT Coordination Center
  1545.  
  1546. Email    cert@cert.org
  1547.  
  1548. Phone    +1 412-268-7090 (24-hour hotline)
  1549.                 CERT personnel answer 8:30-5:00 p.m. EST
  1550.                 (GMT-5)/EDT(GMT-4), and are on call for
  1551.                 emergencies during other hours.
  1552.  
  1553. Fax      +1 412-268-6989
  1554.  
  1555. Postal address
  1556.         CERT Coordination Center
  1557.         Software Engineering Institute
  1558.         Carnegie Mellon University
  1559.         Pittsburgh PA 15213-3890
  1560.         USA
  1561.  
  1562. To be added to our mailing list for CERT advisories and bulletins, send your
  1563. email address to
  1564.         cert-advisory-request@cert.org
  1565.  
  1566. CERT advisories and bulletins are posted on the USENET news group
  1567.          comp.security.announce
  1568.  
  1569. CERT publications, information about FIRST representatives, and other
  1570. security-related information are available for anonymous FTP from
  1571.         http://www.cert.org/
  1572.         ftp://info.cert.org/pub/
  1573.  
  1574. If you wish to send sensitive incident or vulnerability information to CERT
  1575. staff by electronic mail, we strongly advise you to encrypt your message.
  1576. We can support a shared DES key or PGP. Contact the CERT staff for more
  1577. information.
  1578.  
  1579. Location of CERT PGP key
  1580.          ftp://info.cert.org/pub/CERT_PGP.key
  1581.  
  1582. - ---------------------------------------------------------------------------
  1583. Copyright 1996 Carnegie Mellon University
  1584. This material may be reproduced and distributed without permission provided
  1585. it is used for noncommercial purposes and credit is given to the CERT
  1586. Coordination Center.
  1587.  
  1588. CERT is a service mark of Carnegie Mellon University.
  1589.  
  1590. -----BEGIN PGP SIGNATURE-----
  1591. Version: 2.6.2
  1592.  
  1593. iQCVAwUBMpoitXVP+x0t4w7BAQEp1gP/XK7WsKsoplL4F9YdMi9CyHCd/H1Qh3Nm
  1594. oyJDD9O19EPsCjeuFgBX5bGWb26L1MeuuCyEhV/5Z9Vf2R9wrPcOq3l+UeVjV/0t
  1595. SDwp/Y2R4uP+hdCzkDKk5Ryuzoxq3xj4TD0GNv8XRShQbUR2u05zFbzbyiH+ONh8
  1596. C7E1HKBP03M=
  1597. =nrOY
  1598. -----END PGP SIGNATURE-----
  1599.