home *** CD-ROM | disk | FTP | other *** search
/ Group 42-Sells Out! - The Information Archive / Group 42 Sells Out (Group 42) (1996).iso / faqs / csspatch.txt < prev    next >
Text File  |  1995-11-30  |  39KB  |  1,049 lines
  1. Archive-name: computer-security/security-patches 
  2. Posting-frequency: monthly
  3. Last-modified: 1995/5/04
  4. Version: 2.1
  5.  
  6. Security Patches FAQ
  7.  
  8. Version: 2.1
  9. -------------------------------------------------------------------------------
  10. This Security FAQ is a resource provided by:
  11.  
  12.      Internet Security Systems, Inc.
  13.      2000 Miller Court West            Tel: (404) 441-2531
  14.      Norcross, Georgia  30071          Fax: (404) 441-2431
  15.  
  16.      - Computer Security Consulting - Penetration Analysis of Networks -
  17.  
  18. -------------------------------------------------------------------------------
  19. To get the newest updates of Security files check the following services:
  20.  
  21.      mail info@iss.net with "send index" in message
  22.      http://iss.net/~iss
  23.      ftp iss.net /pub/faq/
  24.  
  25. -------------------------------------------------------------------------------
  26.  
  27. Security Patches FAQ for your System: The Patch List
  28.  
  29. As new systems become accessible by networks there is a need for security. Many
  30. systems are shipped insecure which puts the responsibility on the customers to
  31. find and apply patches. This FAQ will be a guide for the many administrators
  32. who want to secure their systems.
  33.  
  34. This FAQ is broken down into the different sections:
  35.  
  36.   1. Generic Things to Look For
  37.   2. Type of Operating System and its Vulnerabilities.
  38.         o AIX
  39.         o DEC
  40.         o HPUX
  41.         o NEXT
  42.         o SCO
  43.         o Sun Microsystems
  44.         o SGI
  45.   3. Particular Vulnerabilities
  46.         o FTP
  47.         o Sendmail
  48.         o HTTPd (WWW)
  49.         o Rdist
  50.         o IP Spoofing attacks
  51.         o Hijacking terminal connections
  52.   4. Unpatched Vulnerabilities (Bugs that the Vendor has not Fixed)
  53.  
  54. -------------------------------------------------------------------------------
  55.  
  56. Part 1 - Generic Things to Look For
  57.  
  58.    * Firewalling is one of the best methods of stopping pontential intruders.
  59.      Block all UDP traffic except for DNS and nameserver ports. Block all
  60.      source routing and rlogin and rsh at the router if possible.
  61.  
  62.    *  Run ISS (Internet Security Scanner) regulary. This package allows an
  63.      administrator to do an audit of the network and notify him of any security
  64.      misconfigurations or anomalies that allow intruders in therefore allowing
  65.      him to take corrective measures before his network is compromised. It is
  66.      available on aql.gatech.edu:/pub/security/iss
  67.  
  68.    *  Run Tiger regularly. It is available on net.tamu.edu:/pub/security/TAMU
  69.  
  70.      Password Security
  71.  
  72.         o  Use one-time password technology like s/key. This package makes
  73.           sniffing passwords useless since the password that goes over the
  74.           network is only used once. It is available on
  75.           ftp:thumper.bellcore.com:/pub/nmh/skey
  76.  
  77.         o  Shadowing passwords is useful against dictionary passwd cracking
  78.           attacks.
  79.  
  80.         o  Replace passwd with a program that will not allow your users to pick
  81.           easy passwords.
  82.  
  83.         o  Check for all easy-to-guess passwords with Crack which is available
  84.           on ftp.cert.org:/pub/tools/crack by Alec Muffett (alecm@sun.com) .
  85.  
  86.    *  Do a rpcinfo -p command and check to make sure rexd is not running.
  87.  
  88.    *  TFTP should be turned off unless needed because it can be used to grab
  89.      password files remotely.
  90.  
  91.    *  Make sure there is no '+' in /etc/hosts.equiv or any .rhosts.
  92.  
  93.    *  Make sure there are no '#' in /etc/hosts.equiv or any .rhosts.
  94.  
  95.    *  Make sure there are no funny commands in any .forward.
  96.  
  97.    *  Make sure there are no cleartext passwords in any .netrc.
  98.  
  99.    *  Do a showmount -e command to see your exports and make sure they are
  100.      restricted to only trusted hosts. Make sure all exports have an access
  101.      list.
  102.  
  103.    *  Use Xauthority when using X11 or openwin.
  104.  
  105.    *  You may want to remove the suid from rdist, chill, pstat, and arp. They
  106.      are known to cause security problems on generic default machine.
  107.  
  108.    *  Run tripwire regularly. It is available on
  109.      coast.cs.purdue.edu:/pub/COAST/Tripwire
  110.  
  111.    *  Run COPS regulary. It is available on ftp.cert.org:/pub/tools/cops
  112.  
  113.    *  Run a TCP Wrapper. It is available on
  114.      ftp.win.tue.nl:/pub/security/tcp_wrappers_6.3.shar.Z
  115.  
  116.    *  Identd may help locate accounts that intruders are using on remote and
  117.      local machines. It is on ftp.lysator.liu.se:/pub/ident/servers
  118.  
  119. -------------------------------------------------------------------------------
  120.  
  121. Part 2 - Type of Operating System and its Vulnerabilities
  122.  
  123. To find some of the newer patches, using archie and xarchie can be a useful
  124. tool. Some caution must be used when using patches obtained from FTP sites. It
  125. is known that some ftp sites have been compromised in the past and files were
  126. replaced with trojans. Please verify the checksums for the patches.
  127. -------------------------------------------------------------------------------
  128.  
  129. AIX
  130.  
  131. Fixdist is a X Windows front end to the AIX PTF (Patch) Database. Fixdist
  132. package available at ftp:aix.boulder.ibm.com
  133.  
  134. Fixdist requirements:
  135.  
  136.      Software:
  137.         o  AIX for RISC System/6000 Version 3.2.4 or above.
  138.         o  AIX TCPIP Facilities (bosnet.tcpip.obj)
  139.         o  AIXwindows 1.2.0 (X11R4) or AIXwindows 1.2.3 (X11R5).
  140.  
  141.      Connection Requirements
  142.         o  The fixdist utility communicates to the ftp server using anonymous
  143.           ftp. There is no mail transport or Telnet requirement. The server is
  144.           currently available only on the Internet. If you are able to download
  145.           the utility, you are fully enabled use fixdist.
  146.  
  147.      Fixdist does not "install" any PTFs onto your system. It just transfers
  148.      the fixes to a target directory on your RISC System/6000.
  149.  
  150.      The AIX support line is at
  151.  
  152.           http://aix.boulder.ibm.com/pbin-usa/getobj.pl?/pdocs-usa/public.html/
  153.  
  154.      From that page, you can link to a forms-based keyword search, which you
  155.      can use to query with the terms "aix" and "security". The direct link for
  156.      the keyword search is:
  157.  
  158.           http://aix.boulder.ibm.com/pbin-usa/pub_search.pl
  159.  
  160. To turn off IP Forwarding and Source Routing, add the following to /etc/rc.net:
  161.  
  162.      /usr/sbin/no -o ipforwarding=0
  163.      /usr/sbin/no -o ipsendredirects=0
  164.      /usr/sbin/no -o nonlocsrcroute=0
  165.  
  166. -------------------------------------------------------------------------------
  167.  
  168. DEC
  169.  
  170. Security kits are available from Digital Equipment Corporation by contacting
  171. your normal Digital support channel or by request via DSNlink for electronic
  172. transfer.
  173.  
  174. Digital Equipment Corporation strongly urges Customers to upgrade to a minimum
  175. of ULTRIX V4.4 and DEC OSF/1 V2.0 then apply the Security Enhanced Kit.
  176.  
  177. - Please refer to the applicable Release Note information prior to upgrading
  178. your installation.
  179.  
  180. KIT PART NUMBERS and DESCRIPTIONS
  181.  
  182. CSC PATCH #
  183.  
  184. CSCPAT_4060  V1.0   ULTRIX    V4.3 thru V4.4  (Includes DECnet-ULTRIX V4.2)
  185. CSCPAT_4061  V1.0   DEC OSF/1 V1.2 thru V2.0
  186.  
  187.          These kits will not install on versions previous to ULTRIX V4.3
  188.          or DEC OSF/1 V1.2.
  189.  
  190. The ULTRIX Security Enhanced kit replaces the following images:
  191. /usr/etc/comsat                 ULTRIX V4.3, V4.3a, V4.4
  192. /usr/ucb/lpr                    "                      "
  193. /usr/bin/mail                   "                      "
  194. /usr/lib/sendmail               "                      "
  195.                     *sendmail - is a previously distributed solution.
  196.  
  197. /usr/etc/telnetd                ULTRIX V4.3, V4.3a only
  198.  
  199. For DECnet-ULTRIX V4.2  installations:
  200.  
  201. /usr/etc/dlogind
  202. /usr/etc/telnetd.gw
  203.  
  204. The DEC OSF/1 Security Enhanced kit replaces the following images:
  205.  
  206. /usr/sbin/comsat                DEC OSF/1 V1.2, V1.3 V2.0
  207. /usr/bin/binmail
  208. /usr/bin/lpr                    "                       "
  209.  
  210. /usr/sbin/sendmail              DEC OSF/1 V1.2, V1.3  only
  211.                     *sendmail - is a previously distributed solution.
  212. /usr/bin/rdist                  "                       "
  213. /usr/shlib/libsecurity.so       DEC OSF/1 V2.0 only
  214.  
  215. -------------------------------------------------------------------------------
  216.  
  217. HPUX
  218.  
  219. In order to retrieve any document that is described in this index, send the
  220. following in the TEXT PORTION OF THE MESSAGE to
  221. support@support.mayfield.hp.com:
  222.  
  223. send doc xxxxxxxxxxxx
  224.  
  225. Summary of 'Security Bulletins Index' documents
  226.  
  227. Document Id    Description
  228. HPSBMP9503-003 Security Vulnerability (HPSBMP9503-003) in MPE/iX releases
  229. HPSBMP9503-002 Security Vulnerability (HPSBMP9503-002) in MPE/iX releases
  230. HPSBMP9503-001 Security Vulnerability (HPSBMP9503-001) in MPE/iX releases
  231. HPSBUX9502-024 /usr/lib/sendmail has two security vulnerabilities
  232. HPSBUX9502-023 Security vulnerability in `at' & `cron'
  233. HPSBUX9502-022 Security Vulnerability involving malicious users
  234. HPSBUX9502-021 No current vulnerability in /bin/mail (or /bin/rmail)
  235. HPSBUX9501-020 Security Vulnerability in HP Remote Watch
  236. HPSBUX9411-019 Security Vulnerability in HP SupportWatch
  237. HPSBUX9410-018 Security Vulnerability in xwcreate/gwind
  238. HPSBUX9409-017 Security Vulnerability in CORE-DIAG fileset
  239. HPSBUX9408-000 Sum and MD5 sums of HP-UX Security Bulletins
  240. HPSBUX9408-016 Patch sums and the MD5 program
  241. HPSBUX9407-015 Xauthority problem
  242. HPSBUX9406-014 Patch file permissions vulnerability
  243. HPSBUX9406-013 vhe_u_mnt allows unauthorized root access
  244. HPSBUX9405-011 Security Vulnerability in HP GlancePlus
  245. HPSBUX9405-009 PROBLEM:  Incomplete implementation of OSF/AES standard
  246. HPSBUX9405-010 ftpd: SITE CHMOD / race condition vulnerability
  247. HPSBUX9405-012 Security vulnerability in Multimedia Sharedprint
  248. HPSBUX9404-007 HP-UX does not have ftpd SITE EXEC vulnerability
  249. HPSBUX9404-008 Security Vulnerability in Vue 3.0
  250. HPSBUX9402-006 Security Vulnerability in DCE/9000
  251. HPSBUX9402-005 Security Vulnerability in Hpterm
  252. HPSBUX9402-004 Promiscuous mode network interfaces
  253. HPSBUX9402-003 Security Vulnerability in Subnetconfig
  254. HPSBUX9312-002 Security Vulnerability in Xterm
  255. HPSBUX9311-001 Security Vulnerability in Sendmail
  256.  
  257. If you would like to obtain a list of additional files available via the HP
  258. SupportLine mail service, send the following in the TEXT PORTION OF THE MESSAGE
  259. to support@support.mayfield.hp.com:
  260.  
  261.      send file_list
  262.  
  263. To get the newest security patch list:
  264.  
  265.      send security_info_list
  266.  
  267. To get the most current security patches for each version of OS:
  268.  
  269.      send hp-ux_patch_matrix
  270.  
  271. HP-patches and patch-information are available by WWW:
  272.  
  273.   1.  with URL http://support.mayfield.hp.com/slx/html/ptc_hpux.html
  274.      http://support.mayfield.hp.com/slx/html/ptc_get.html
  275.  
  276.   2.  or by appending the following lines to your $HOME/.mosaic-hotlist-default
  277.      and using the --> navigate --> hotlist option.
  278.  
  279. HP has a list of checksums for their security patches. Highly recommended you
  280. always compare patches with the checksum for corruption and trojans.
  281. -------------------------------------------------------------------------------
  282.  
  283. NEXT
  284.  
  285. There are some security patches on ftp.next.com:/pub/NeXTanswers/Files/Patches
  286.  
  287.      SendmailPatch.23950.1
  288.      RestorePatch.29807.16
  289.  
  290. ftp.next.com:/pub/NeXTanswers/Files/Security contains some security advisories.
  291.  
  292. Be sure to check for Rexd and uuencode alias.
  293. -------------------------------------------------------------------------------
  294.  
  295. SCO Unix
  296.  
  297. Current releases of SCO UNIX (3.2v4.2) and Open Desktop (3.0) has the following
  298. security patches available:
  299.  
  300.      uod368b -- passwd
  301.      oda377a -- xterm, scoterm, scosession, clean_screen
  302.  
  303. These can be downloaded from ftp.sco.com:/SLS. First get the file "info" which
  304. lists the actual filenames and descriptions of the supplements.
  305.  
  306. Security problems were made aware by 8LGM in the following programs for SCO:
  307.  
  308.    *  at(C)
  309.    *  login(M)
  310.    *  prwarn(C)
  311.    * sadc(ADM)
  312.    *  pt_chmod
  313.  
  314. These programs, which allowed regular users to become SuperUser (root), affect
  315. the following SCO Products:
  316.  
  317.    *  SCO Unix System V/386 Release 3.2 Versions 4.2, 4.1, and 4.0
  318.    *  SCO Open Desktop Lite Release 3.0
  319.    *  SCO Open Desktop Release 3.0 and 2.0
  320.    *  SCO Open Server Network System Release 3.0
  321.    *  SCO Open Server Enterprise System Release 3.0
  322.  
  323. You need the following patches which are available at ftp.sco.com:/SSE:
  324.  
  325.      Binary             Patch
  326.      ------             ------
  327.      at(C)              sse001
  328.      login(M)           sse002
  329.      prwarn(C)          sse003
  330.      sadc(ADM)          sse004
  331.      pt_chmod           sse005
  332.  
  333. To contact SCO, send electronic mail to support@sco.com.
  334.  
  335. -------------------------------------------------------------------------------
  336.  
  337. Sun Microsystems, Inc. SunOS 4.x and Solaris 2.x
  338.  
  339. Patches may be obtained via anonymous ftp from ftp.uu.net:/systems/sun/sun-dist
  340. or from local Sun Answer Centers worldwide. Sun makes lists of recommended
  341. patches (including security patches) available to customers with support
  342. contracts via its Answer Centers and the SunSolve service. The lists are
  343. uploaded on an informal basis to the ftp.uu.net patch repository maintained by
  344. Sun for other customers, and posted periodically on the comp.security.unix
  345. newsgroup.
  346.  
  347. Patches are also available via anonymous ftp from
  348. sunsolve1.sun.com:/pub/patches online.sunsolve.sun.co.uk:/patches/SECURITY/ALL
  349.  
  350. Check out the the sunsolve www-page at http://online.sunsolve.sun.co.uk/
  351.  
  352. Below is a list of security patches that should be implemented. Please use
  353. Sun's patch list for the authoritative answer. If you see any discrepencies
  354. please notify Christopher Klaus (cklaus@iss.net).
  355.  
  356. 100075-11       rpc.lockd jumbo patch
  357. 100103-11       script to change file permissions to a more secure mode
  358. 100170-10       jumbo-patch ld-1.144 shared LD_LIBRARY_PATH -Bstatic SPARCworks
  359. 100173-09       NFS Jumbo Patch
  360. 100178-08       netd "broken server detection" breaks on fast machines
  361. 100249-09       automounter jumbo patch
  362. 100272-07       security hole in utmp writable
  363. 100283-03       in.routed mishandles gateways, multiple routes
  364. 100296-04       rpc.mountd exports to the world
  365. 100305-14       lpr package
  366. 100338-05       system crashes with assertion failed panic.(may be obsolete)
  367. 100342-03       NIS client needs long recovery time if server reboots
  368. 100359-06       streams jumbo patch
  369. 100383-06       rdist can be used to get root access
  370. 100421-03       rpc.rexd does not log appropriate accounting messages
  371. 100448-01       loadmodule
  372. 100482-04       ypxfrd exporting NIS maps to everybody
  373. 100507-04       tmpfs jumbo patch
  374. 100527-03       rsh uses old-style selects instead of 4.0 selects
  375. 100536-02       NFS can cause panic: assertion failed crashes
  376. 100557-02       ftp Jumbo patch
  377. 100564-07       C2 Jumbo patch
  378. 100567-04       mfree panic due to mbuf being freed twice
  379. 100593-03       security hole in utmp writable
  380. 100623-03       UFS jumbo patch
  381. 100909-02       security hole in utmp writable
  382. 101480-01       security hole in utmp writable
  383. 101481-01       security hole in utmp writable
  384. 101482-01       security hole in utmp writable
  385. 102060-01       Fixes the passwd -F hole.
  386. 101436-08       Fix for /bin/mail
  387.  
  388. Solaris 2.2 Recommended Patches:
  389.  
  390. 100982-03  SunOS 5.2: fixes for kernel/fs/fifofs
  391. 100992-03  SunOS 5.2: streams related panics involving local transport
  392. 100999-71  SunOS 5.2: kernel jumbo patch
  393. 101014-05  SunOS 5.2: fixes for usr/lib/libsocket
  394. 101022-06  SunOS 5.2: NIS/NIS+ jumbo patches
  395. 101025-14  SunOS 5.2: Jumbo patch fixes for lp system
  396. 101031-02  SunOS 5.2: file descriptor limit is too low on inetd
  397. 101090-01  SunOS 5.2: fixes security hole in expreserve
  398. 101096-02  SunOS 5.2: fixes for rpcbind
  399. 101109-04  SunOS 5.2: fixes problems with ldterm, ptm, pts
  400. 101122-07  SunOS 5.2: fixes for the packaging utilities
  401. 101301-03  SunOS 5.2: security bug & tar fixes
  402. 101348-01  SunOS 5.2: system hangs due to mblk memory leak
  403.  
  404. Solaris 2.3 Recommended Patches:
  405.  
  406. 101317-11  SunOS 5.3: lp jumbo patch
  407. 101318-59  SunOS 5.3: Jumbo patch for kernel (includes libc, lockd)
  408. 101327-08  SunOS 5.3: security and miscellaneous tar fixes
  409. 101331-05  SunOS 5.3: fixes for package utilities
  410. 101344-11  SunOS 5.3: Jumbo NFS patch security
  411. 101347-02  SunOS 5.3: fixes for ttcompat
  412. 101615-02  SunOS 5.3: miscellaneous utmp fixes
  413. 101631-02  SunOS 5.3: kd and ms fixes
  414. 101712-01  SunOS 5.3: uucleanup isn't careful enough when sending mail
  415. 102034-01  SunOS 5.3: portmapper security hole
  416. 101889-03  OpenWindows 3.3: filemgr forked executable ff.core has a se
  417.  
  418. Solaris 2.4 Recommended Patches:
  419.  
  420. 101945-13  SunOS 5.4: jumbo patch for kernel
  421. 101959-02  SunOS 5.4: lp jumbo patch
  422. 101981-01  SunOS 5.4: SECURITY: su can display root password in the co
  423. 102007-01  SunOS 5.4: vnode v_count is not maintained correctly
  424. 102044-01  SunOS 5.4: bug in mouse code makes "break root" attack poss
  425. 102070-01  SunOS 5.4: Bugfix for rpcbind/portmapper
  426.  
  427. Sendmail patches are important. Check out Sendmail section.
  428.  
  429. Turn off IP-Forward on SunOs Kernel and kmem via:
  430.  
  431.      "echo ip_forwarding/W 0" | adb -w /vmunix /dev/kmem
  432.  
  433. To turn off source routed packets on Solaris 2.X. Edit /etc/rc.2.d/S69.inet and
  434. change
  435.  
  436.      ndd -set /dev/ip ip_forwarding 0
  437.      ndd -set /dev/ip ip_ip_forward_src_routed 0
  438.  
  439. reboot.
  440.  
  441. Source routing patch for SunOs 4.1.x
  442. ftp.greatcircle.com:/pub/firewalls/digest/v03.n153.Z
  443.  
  444. To Secure a Sun console physically:
  445. (for desktop sparc models)
  446.  
  447.      $su
  448.      #eeprom security-mode=command
  449.      Password:
  450.      Retype password:
  451.      #
  452.  
  453. (for other models)
  454.  
  455.      $su
  456.      #eeprom secure=command
  457.      Password:
  458.      Retype password:
  459.      #
  460.  
  461. This restricts access to the new command mode.
  462.  
  463. Remove suid from crash, devinfo. These both are known to be exploitable on some
  464. Sun and are rarely used.
  465. The following is a package of patches for SunOs from Australian group SERT:
  466. ftp.sert.edu.au:/security/sert/tools/MegaPatch.1.7.tar.Z
  467.  
  468. Solaris 2.x Patches
  469.  
  470. Here are some file permission problems that exist on Solaris 2.3 and maybe
  471. exist on Solaris 2.4 that you should check and correct. Many file permission
  472. problems are fixed with a fix-mode module in the auto-install package:
  473.  
  474. ftp.fwi.uva.nl:/pub/solaris/auto-install/* .
  475.  
  476. After each patch installation, you will need to re-run the fix-mode.
  477.  
  478.   1.  Problem: As distributed, /opt/SUNWdxlib contains many _world_ writeable
  479.      files, including executables. A trojan may be inserted into an executable
  480.      by any user allowing them access to the accounts of anyone executing it.
  481.  
  482.      Solution:
  483.  
  484.           "find /opt/SUNWdxlib -exec chmod go-w {} \;"
  485.  
  486.      Fix-modes will do a better job correcting permissions. You can do a simple
  487.      check for trojans with:
  488.  
  489.           "pkgchk SUNWdxlib".
  490.  
  491.   2.  Problem: By default, /var/nis/{hostname}.dict is _world_ writeable. "man
  492.      -s4 nisfiles" says "This file is a dictionary that is used by the NIS+
  493.      database to locate its files." A quick look at it will show things like
  494.      "/var/nis/{hostname}/passwd.org_dir". By changing this to, say,
  495.      "/tmp/{hostname}/passwd.org_dir", it _may_ be possible to replace the NIS+
  496.      password (or any arbitrary) map with a bogus one. There are also many
  497.      files in /var/nis/{hostname} that are world writeable. However, since
  498.      /var/nis/{hostname} is root owned, mode 700, this shouldn't be a problem.
  499.      It also shouldn't be necessary. All the files in /var/nis/{hostname} are
  500.      world readable which is not a good way to have shadow passwords.
  501.  
  502.      Solution: By putting a "S00umask.sh" with contents "umask 022" in each
  503.      /etc/rc?.d it will make sure that all daemons will start with an umask of
  504.      022.
  505.  
  506.      The default umask really should be 022, not 0.
  507.  
  508.      "strings /var/nis/{hostname}.dict" to make sure all the paths are sane,
  509.      then to correct permissions:
  510.  
  511.           "chmod 644 /var/nis/{hostname}.dict"
  512.           "chmod 700 /var/nis/{hostname}"
  513.           "chmod 600 /var/nis/{hostname}/*"
  514.  
  515.   3.  Problem: /etc/hostname.le0 is _world_ writeable. This allows anyone to
  516.      change the address of the ethernet interface.
  517.  
  518.      Solution:
  519.  
  520.           "chmod 644 /etc/hostname.le0"
  521.  
  522.   4.  Problem: /var/statmon, /var/statmon/sm, and /var/statmon/sm.bak are
  523.      _world_ writeable directories. They are used by statd to "provide the
  524.      crash and recovery functions for the locking services of NFS. You could
  525.      trick an NFS client into thinking a server crashed.
  526.  
  527.      Solution:
  528.  
  529.           "find /var/statmon -exec chmod o-w {} \;"
  530.  
  531.   5.  Problem: The following files are _world_ writeable:
  532.  
  533.           /var/adm/vold.log
  534.           /var/log/syslog*
  535.           /var/lp/logs/lpsched
  536.           /var/lp/logs/lpNet
  537.           /etc/mnttab
  538.           /etc/path_to_inst.old
  539.           /var/saf/_log
  540.           /etc/rmtab
  541.  
  542.      Solution: It may not be possible to tighten up permissions on all the
  543.      world writeable files out there without breaking something. However, it'd
  544.      be a good idea to at least know what they are. Something like:
  545.  
  546.           "find / -user root \( -type d -o -type f \) -perm -2 -ls"
  547.  
  548.      will at least let you know which files may contain bogus information.
  549.      Checking for other than root, bin, sys, lp, etc. group writeable files
  550.      would be a good idea as well.
  551.  
  552.   6.  Problem: Solaris still ships /usr/kvm/crash mode 2755 which allows anyone
  553.      to read kmem.
  554.  
  555.      Solution: Change permission to 0755.
  556.  
  557.   7.  Problem: /etc, /usr/ and /usr/sys may have mode 775 which allows groups
  558.      to write over files.
  559.  
  560.      Solution: Change permissions to 755.
  561.  
  562. -------------------------------------------------------------------------------
  563.  
  564. SGI
  565.  
  566. ftp.sgi.com and sgigate.sgi.com have a "/security" directory.
  567.  
  568. {3.3,4.0,5.0} including sendmail and lpr. lpr allowed anyone to get root
  569. access.
  570.  
  571. Patch65 and patch34 correct vulnerability in SGI help system which enabled
  572. users to gain root priviledges.
  573.  
  574.                 Standard      System V       MD5
  575.                 Unix          Unix           Digital Signature
  576. patch34.tar.Z:  11066 15627   1674 31253     2859d0debff715c5beaccd02b6bebded
  577. patch65.tar:    63059 1220    15843 2440     af8c120f86daab9df74998b31927e397
  578.  
  579. Check for the Following: Default accounts with no passwords: 4DGifts, lp,
  580. nuucp, demos, tutor, guest, tour
  581.  
  582. To Disable IP_Forwarding on SGI:
  583. edit /usr/sysgen/master.d
  584. change int ipforwarding = 1 to 0;
  585. then recompile kernel by autoconfig -f; for IRIX 4.0.5
  586.  
  587. Remove suid from /usr/sbin/colorview
  588. Remove suid from /usr/lib/vadmin/serial_ports on Irix 4.X
  589. Remove suid from /usr/lib/desktop/permissions
  590. Remove suid from /usr/bin/under
  591.  
  592. /usr/etc/arp is setgid sys in IRIX up to and including 5.2, allowing anyone who
  593. can log into your machine to read files which should be readable only by group
  594. 'sys'.
  595. Remove suid from /usr/sbin/cdinstmgr
  596. Remove suid from /etc/init.d/audio
  597. chmod g-w /usr/bin/newgrp
  598.  
  599. /usr/sbin/printers has a bug in IRIX 5.2 (and possibly earlier 5.x versions)
  600. which allows any user to become root.
  601.  
  602. /usr/sbin/sgihelp has a bug in IRIX 5.2 (and possibly earlier 5.x versions)
  603. which allows any user to become root. This is so bad that the patch is FTPable
  604. from ftp.sgi.com:/security/, and SGI is preparing a CD containing only that
  605. patch.
  606.  
  607. The version of inst which comes with patch 34, which is required for
  608. installation of all other patches (even those with lower numbers) saves old
  609. versions of binaries in /var/inst/patchbase. It does not remove execution or
  610. setuid permissions.
  611.  
  612. Irix has many built-in security knobs that you should know how to turn them on.
  613.  
  614. Manpage                 Things to look for
  615. -------         ---------------------------------------------------
  616.  
  617. login           setup /etc/default/login to log all attempts with
  618.                 SYSLOG=ALL, add support for external authentication
  619.                 programs with SITECHECK=/path/to/prog
  620.  
  621. portmap         use '-a  mask,match' to restrict most of the portmap
  622.                 services to a subset of hosts or networks
  623.                 use '-v' to log all unprivileged accesses to syslog
  624.  
  625. rshd            use '-l' to disable validation using .rhosts files
  626.                 use '-L' to log all access attempts to syslog
  627.  
  628. rlogind         use '-l' to disable validation using .rhosts files
  629.                 (beware, this was broken prior to IRIX 5.3)
  630.  
  631. fingerd         use '-l' to log all connections
  632.                 use '-S' to suppress information about login status,
  633.                 home directory, and shell
  634.                 use '-f msg-file' to make it just display that file
  635.  
  636. ipfilterd       IP packet filtering daemon
  637.  
  638. -------------------------------------------------------------------------------
  639.  
  640. Part 3 - Particular Vulnerabilities
  641.  
  642. Ftp
  643.  
  644. Check the Secure Anonymous FTP FAQ for the latest ftp daemons that you need to
  645. install.
  646.  
  647. Sendmail Patches
  648.  
  649. IBM Corporation
  650.  
  651. A possible security exposure exists in the bos.obj sendmail subsystem in all
  652. AIX releases.
  653.  
  654. The user can cause arbitrary data to be written into the sendmail queue file.
  655. Non-privileged users can affect the delivery of mail, as well as run programs
  656. as other users.
  657.  
  658. Workaround
  659.  
  660. A. Apply the patch for this problem. The patch is available from
  661. software.watson.ibm.com. The files will be located in the /pub/aix/sendmail in
  662. compressed tar format. The MD5 checksum for the binary file is listed below,
  663. ordinary "sum" checksums follow as well.
  664.  
  665.            File            sum             MD5 Checksum
  666.            ----            ---             ------------
  667.            sendmail.tar.Z 35990           e172fac410a1b31f3a8c0188f5fd3edb
  668.  
  669. B. The official fix for this problem can be ordered as Authorized Program
  670. Analysis Report (APAR) IX49257
  671.  
  672. To order an APAR from IBM in the U.S. call 1-800-237-5511 and ask for shipment
  673. as soon as it is available (in approximately two weeks). APARs may be obtained
  674. outside the U.S. by contacting a local IBM representative.
  675.  
  676. Motorola Computer Group (MCG)
  677.  
  678. The following MCG platforms are vulnerable:
  679.  
  680.      R40
  681.      R32 running CNEP add-on product
  682.      R3 running CNEP add-on product
  683.  
  684. The following MCG platforms are not vulnerable:
  685.  
  686.      R32 not including CNEP add-on product
  687.      R3 not including CNEP add-on product
  688.      R2
  689.      VMEEXEC
  690.      VERSADOS
  691.  
  692. The patch is available and is identified as "patch_43004 p001" or "SCML#5552".
  693. It is applicable to OS revisions from R40V3 to R40V4.3. For availability of
  694. patches for other versions of the product contact your regional MCG office at
  695. the numbers listed below.
  696.  
  697. Obtain and install the appropriate patch according to the instructions included
  698. with the patch.
  699.  
  700. The patch can be obtained through anonymous ftp from ftp.mcd.mot.com
  701. [144.191.210.3] in the pub/patches/r4 directory. The patch can also be obtained
  702. via sales and support channels. Questions regarding the patch should be
  703. forwarded to sales or support channels.
  704.  
  705. For verification of the patch file:
  706.  
  707.         Results of      sum -r  == 27479 661
  708.                         sum     == 32917 661
  709.                         md5     == 8210c9ef9441da4c9a81c527b44defa6
  710.  
  711. Contact numbers for Sales and Support for MCG:
  712.  
  713.      United States (Tempe, Arizona)
  714.      Tel: +1-800-624-0077
  715.      Fax: +1-602-438-3865
  716.  
  717.      Europe (Brussels, Belgium)
  718.      Tel: +32-2-718-5411
  719.      Fax: +32-2-718-5566
  720.  
  721.      Asia Pacific / Japan (Hong Kong)
  722.      Tel: +852-966-3210
  723.      Fax: +852-966-3202
  724.  
  725.      Latin America / Australia / New Zealand (U.S.)
  726.      Tel: +1 602-438-5633
  727.      Fax: +1 602-438-3592
  728.  
  729. Open Software Foundation
  730.  
  731. The local vulnerability described in the advisory can be exploited in OSF's
  732. OSF/1 R1.3 (this is different from DEC's OSF/1). Customers should apply the
  733. relevant portions of cert's fix to their source base. For more information
  734. please contact OSF's support organization at osf1-defect@osf.org.
  735.  
  736. The Santa Cruz Operation
  737.  
  738. SCO systems are not vulnerable to the IDENT problem. Systems running the MMDF
  739. mail system are not vulnerable to the remote or local problems.
  740.  
  741. The following releases of SCO products are vulnerable to the local problems.
  742.  
  743.      SCO TCP/IP 1.1.x for SCO Unix System V/386 Operating System Release
  744.      3.2
  745.      Versions 1.0 and 2.0
  746.      SCO TCP/IP 1.2.x for SCO Unix System V/386 Operating System Release
  747.      3.2
  748.      Versions 4.x
  749.      SCO TCP/IP 1.2.0 for SCO Xenix System V/386 Operating System Release
  750.      2.3.4
  751.  
  752.      SCO Open Desktop Lite Release 3.0
  753.      SCO Open Desktop Release 1.x, 2.0, and 3.0
  754.      SCO Open Server Network System, Release 3.0
  755.      SCO Open Server Enterprise System, Release 3.0
  756.  
  757. Patches are currently being developed for the release 3.0 and 1.2.1 based
  758. products. The latest sendmail available from SCO, on Support Level Supplement
  759. (SLS) net382d, is also vulnerable.
  760.  
  761. Contacts for further information:
  762.  
  763. e-mail: support@sco.COM
  764.  
  765. USA, Canada, Pacific Rim, Asia, Latin America 6am-5pm Pacific Daylight Time
  766. (PDT)
  767.  
  768. 1-408-425-4726 (voice)
  769. 1-408-427-5443 (fax)
  770.  
  771. Europe, Middle East, Africa: 9am-5:30pm British Standard Time (BST)
  772.  
  773. +44 (0)923 816344 (voice)
  774. +44 (0)923 817781 (fax)
  775.  
  776. Sequent Computer Systems
  777.  
  778. Sequent customers should contact Sequent Customer Service and request the
  779. Fastpatch for sendmail.
  780.  
  781. phone: 1-800-854-9969.
  782. e-mail: service-question@sequent.com
  783.  
  784. Silicon Graphics, Inc.
  785.  
  786. At the time of writing of this document, patches/binaries are planned for IRIX
  787. versions 4.x, 5.2, 5.3, 6.0, and 6.0.1 and will be available to all SGI
  788. customers.
  789.  
  790. The patches/binaries may be obtained via anonymous ftp (ftp.sgi.com) or from
  791. your support/service provider.
  792.  
  793. On the anonymous ftp server, the binaries/patches can be found in either
  794. ~ftp/patches or ~ftp/security directories along with more current pertinent
  795. information.
  796.  
  797. For any issues regarding this patch, please, contact your support/service
  798. provider or send email to cse-security-alert@csd.sgi.com .
  799.  
  800. Sony Corporation
  801.  
  802.         NEWS-OS 6.0.3   vulnerable; Patch SONYP6022 [sendmail] is available.
  803.         NEWS-OS 6.1     vulnerable; Patch SONYP6101 [sendmail] is available.
  804.         NEWS-OS 4.2.1   vulnerable; Patch 0101 [sendmail-3] is available.
  805.                         Note that this patch is not included in 4.2.1a+.
  806.  
  807. Patches are available via anonymous FTP in the /pub/patch/news-os/un-official
  808. directory on ftp1.sony.co.jp [202.24.32.18]:
  809.  
  810.         4.2.1a+/0101.doc        describes about patch 0101 [sendmail-3]
  811.         4.2.1a+/0101_C.pch      patch for NEWS-OS 4.2.1C/a+C
  812.         4.2.1a+/0101_R.pch      patch for NEWS-OS 4.2.1R/RN/RD/aRD/aRS/a+R
  813.  
  814.         6.0.3/SONYP6022.doc     describes about patch SONYP6022 [sendmail]
  815.         6.0.3/SONYP6022.pch     patch for NEWS-OS 6.0.3
  816.  
  817.         6.1/SONYP6101.doc       describes about patch SONYP6101 [sendmail]
  818.         6.1/SONYP6101.pch       patch for NEWS-OS 6.1
  819.  
  820.         Filename                BSD             SVR4
  821.                                 Checksum        Checksum
  822.         --------------          ---------       ---------
  823.         4.2.1a+/0101.doc        55361 2         19699 4
  824.         4.2.1a+/0101_C.pch      60185 307       25993 614
  825.         4.2.1a+/0101_R.pch      35612 502       31139 1004
  826.         6.0.3/SONYP6022.doc     03698 2         36652 4
  827.         6.0.3/SONYP6022.pch     41319 436       20298 871
  828.         6.1/SONYP6101.doc       40725 2         3257 3
  829.         6.1/SONYP6101.pch       37762 434       4624 868
  830.  
  831.         MD5 checksums are:
  832.         MD5 (4.2.1a+/0101.doc) = c696c28abb65fffa5f2cb447d4253902
  833.         MD5 (4.2.1a+/0101_C.pch) = 20c2d4939cd6ad6db0901d6e6d5ee832
  834.         MD5 (4.2.1a+/0101_R.pch) = 840c20f909cf7a9ac188b9696d690b92
  835.         MD5 (6.0.3/SONYP6022.doc) = b5b61aa85684c19e3104dd3c4f88c5c5
  836.         MD5 (6.0.3/SONYP6022.pch) = 1e4d577f380ef509fd5241d97a6bcbea
  837.         MD5 (6.1/SONYP6101.doc) = 62601c61aef99535acb325cf443b1b25
  838.         MD5 (6.1/SONYP6101.pch) = 87c0d58f82b6c6f7811750251bace98c
  839.  
  840. If you need further information, contact your vendor.
  841.  
  842. Solbourne
  843.  
  844. Grumman System Support Corporation now performs all Solbourne software and
  845. hardware support. Please contact them for further information.
  846.  
  847. e-mail: support@nts.gssc.com
  848. phone: 1-800-447-2861
  849.  
  850. Sun Microsystems, Inc.
  851.  
  852. Sun has developed patches for all supported platforms and architectures,
  853. including Trusted Solaris, Solaris x86, and Interactive Unix. Note that Sun no
  854. longer supports the sun3 architecture and versions of the operating system that
  855. precede 4.1.3.
  856.  
  857. Current patches are listed below.
  858.  
  859.          OS version      Patch ID    Patch File Name
  860.          ----------      ---------   ---------------
  861.          4.1.3           100377-19   100377-19.tar.Z
  862.          4.1.3_U1        101665-04   101665-04.tar.Z
  863.          5.3             101739-07   101739-07.tar.Z
  864.          5.4             102066-04   102066-04.tar.Z
  865.          5.4_x86         102064-04   102064-04.tar.Z
  866.  
  867. The patches can be obtained from local Sun Answer Centers and through anonymous
  868. FTP from ftp.uu.net in the /systems/sun/sun-dist directory. In Europe, the
  869. patches are available from mcsun.eu.net in the /sun/fixes directory.
  870.  
  871. The patches are also available through the usual URL on World Wide Web.
  872.  
  873. Sun is issuing Security Bulletin #129 with details on February 22; the patches
  874. will become available worldwide during the 24 hours to follow.
  875.  
  876. HTTPd (WWW)
  877.  
  878. There is a bug in NCSA v1.3 HTTP Web server that allows anyone to execute
  879. commands remotely. The bug is due to overwriting a buffer. Please get the
  880. newest patch from ftp.ncsa.uiuc.edu. More information is available from
  881. http://hoohoo.ncsa.uiuc.edu/docs/patch_desc.html .
  882.  
  883. Rdist Patches
  884.  
  885. (Unless you really need rdist, chmod 000 rdist works fine.)
  886.  
  887. Apollo Domain/OS SR10.3 and SR10.3.5 (Fixed in SR10.4)
  888. a88k PD92_P0316
  889. m68k PD92_M0384
  890.  
  891. Cray Research, Inc. UNICOS 6.0/6.E/6.1 Field Alert #132 SPR 47600
  892.  
  893. IBM RS/6000 AIX levels 3005, 2006, 2007, and 3.2 apar ix23738
  894. Patches may be obtained by calling Customer Support at 1-800-237-5511.
  895.  
  896. NeXT Computer, Inc. NeXTstep Release 2.x
  897. Rdist available on the public NeXT FTP archives.
  898.  
  899. Silicon Graphics IRIX 3.3.x/4.0 (fixed in 4.0.1) Patches may be obtained via
  900. anonymous ftp from sgi.com in the sgi/rdist directory.
  901.  
  902. Solbourne OS/MP 4.1A Patch ID P911121003
  903.  
  904. Sun Microsystems, Inc. SunOS 4.0.3/4.1/4.1.1 Patch ID 100383-06
  905.  
  906. IP Spoofing Vulnerabilities
  907.  
  908. IP Spoofing attacks allow an intruder to send packets as if they were coming
  909. from a trusted host and some services based on IP based authenication allow an
  910. intruder to execute commands. Because these packets appear to come from a
  911. trusted host, it may be possible to by-pass firewall security. IP Spoofing is
  912. more detailed in the following papers:
  913.  
  914.    *  "Security Problems in the TCP/IP Protocol Suite" by Steve Bellovin. It is
  915.      available for ftp from research.att.com:/dist/internet_security/ipext.ps.Z
  916.  
  917.    *  "A Weakness in the 4.2BSD Unix TCP/IP Software," by Robert T. Morris. It
  918.      is available for ftp from
  919.      research.att.com:/dist/internet_security/117.ps.Z
  920.  
  921. Some of the services based on IP authenication are:
  922.  
  923.    *  Rsh
  924.    *  Rlogin
  925.    *  NFS
  926.    *  NIS
  927.    *  X Windows
  928.    *  Services secured by TCP Wrappers access list.
  929.  
  930. It can help turn off these services especially Rsh and Rlogin.
  931.  
  932. You can filter out IP spoofed packets with certian routers with the use of the
  933. input filter. Input filter is a feature on the following routers:
  934.  
  935.    *  Bay Networks/Wellfleet, version 5 and later
  936.    *  Cabletron with LAN Secure
  937.    *  Cisco, RIS software version 9.21 and later
  938.    *  Livingston
  939.    *  NSC
  940.  
  941. TCP Wrapper in conjunction with Identd can help to stop IP spoofing because
  942. then the intruder must not not only spoof the connection to Rsh/Rlogin, they
  943. must spoof the information to identd which is not as trivial.
  944.  
  945. TCP Wrapper is available on ftp.win.tue.nl:/pub/security/tcp_wrappers_6.
  946. 3.shar.Z
  947.  
  948. Identd is available on ftp.lysator.liu.se:/pub/ident/servers
  949.  
  950. Add the following to TCP Wrappers access list:
  951.  
  952.      ALL: UNKNOWN@ALL: DENY
  953.  
  954. This will drops all TCP connections where ident lookup fails.
  955.  
  956. Hijacking terminal connections
  957.  
  958. Intruders are using a kernel module called TAP that initially was used for
  959. capturing streams which allows you to view what a person is typing. You can use
  960. it to write to someone's steam, thus emulating that person typing a command and
  961. allowing an intruder to "hijack" their session.
  962.  
  963. Tap is available on ftp.sterling.com /usenet/alt.sources/volume92/Mar in the
  964. following files:
  965.  
  966.    * 920321.02.Z TAP - a STREAMS module/driver monitor (1.1)
  967.    * 920322.01.Z TAP - a STREAMS module/driver monitor (1.5) repost
  968.    * 920323.17.Z TAP - BIG BROTHERS STREAMS TAP DRIVER (1.24)
  969.  
  970. An intruder needs to install TAP as root. Therefore if you have installed all
  971. patches and taken the necessary precautions to eliminate ways to obtain root,
  972. the intruder has less chance of installing TAP. You can disable loadable
  973. modules on SunOs 4.1.x by editing the kernel configuraion file found in
  974. /sys/`arch -k`/conf directory and comment out the following line with a "#"
  975. character:
  976.  
  977.      options VDDRV # loadable modules
  978.  
  979. Then build and install the new kernel:
  980.  
  981.      # /etc/config CONFIG_NAME
  982.      # cd ../CONFIG_NAME
  983.      # make
  984.      # cp /vmunix /vmunix.orig
  985.      # cp vmunix /
  986.      # sync; sync; sync
  987.  
  988. Reboot the system to activate the new kernel. You can also try to detect the
  989. Tap program by doing the following command:
  990.  
  991.      modstat
  992.  
  993. Modstat displays all loaded modules. An intruder could trojan modstat as well
  994. therefore you may want to verify the checksum of modstat.
  995. -------------------------------------------------------------------------------
  996.  
  997. Part 4 - Unpatched Vulnerabilities
  998.  
  999. This is intended to let consumers know that these holes have already been fully
  1000. disclosed and everyone already knows about it. These are the vulnerabilities
  1001. that vendors are suppose to be releasing patches for ASAP. Hopefully this list
  1002. will stay short and small.
  1003.  
  1004. Vendor          Bug                 Result
  1005. Sun5.x          no promisc flags    Can not tell if machine is sniffing
  1006.  
  1007. -------------------------------------------------------------------------------
  1008.  
  1009. Acknowledgements
  1010.  
  1011. I would like to thank the following people for the contribution to this FAQ
  1012. that has helped to update and shape it:
  1013.  
  1014.    * Jonathan Zanderson (jsz@ramon.bgu.ac.il)
  1015.    * Rob Quinn <rjq@phys.ksu.edu>
  1016.    * Dr.-Ing. Rudolf Theisen, <r.theisen@kfa-juelich.de>
  1017.    * Gerald (Jerry) R. Leslie <jleslie@dmccorp.com>
  1018.    * Walker Aumann (walkera@druggist.gg.caltech.edu)
  1019.    * Chris Ellwood (cellwood@gauss.calpoly.edu)
  1020.    * Dave Millar (millar@pobox.upenn.edu)
  1021.  
  1022. -------------------------------------------------------------------------------
  1023.  
  1024. Copyright
  1025.  
  1026. This paper is Copyright (c) 1994, 1995
  1027.    by Christopher Klaus of Internet Security Systems, Inc.
  1028.  
  1029. Permission is hereby granted to give away free copies electronically. You may
  1030. distribute, transfer, or spread this paper electronically. You may not pretend
  1031. that you wrote it. This copyright notice must be maintained in any copy made.
  1032. If you wish to reprint the whole or any part of this paper in any other medium
  1033. excluding electronic medium, please ask the author for permission.
  1034.  
  1035. Disclaimer
  1036.  
  1037. The information within this paper may change without notice. Use of this
  1038. information constitutes acceptance for use in an AS IS condition. There are NO
  1039. warranties with regard to this information. In no event shall the author be
  1040. liable for any damages whatsoever arising out of or in connection with the use
  1041. or spread of this information. Any use of this information is at the user's own
  1042. risk.
  1043.  
  1044. Address of Author
  1045.  
  1046. Please send suggestions, updates, and comments to:
  1047. Christopher Klaus <cklaus@iss.net> of Internet Security Systems, Inc.
  1048. <iss@iss.net>
  1049.