home *** CD-ROM | disk | FTP | other *** search
/ Hacker's Secrets 4 / Hacker's Secrets 4.iso / faq / comp2029.txt < prev    next >
Text File  |  1997-01-06  |  41KB  |  1,079 lines
  1. Subject: computer-security/security-patches FAQ
  2. Supersedes: <secfaq.p5_850416605@iss.net>
  3. Date: 27 Dec 1996 18:13:15 GMT
  4.  
  5. Posting-frequency: monthly
  6. Version: 3.0
  7.  
  8. Security Patches FAQ
  9.  
  10. Version: 3.0
  11. ----------------------------------------------------------------------------
  12. This Security FAQ is a resource provided by:
  13.  
  14.      Internet Security Systems, Inc.
  15.      Suite 660, 41 Perimeter Center East          Tel: (770) 395-0150
  16.      Atlanta, Georgia 30346                       Fax: (770) 395-1972
  17.  
  18. ----------------------------------------------------------------------------
  19. To get the newest updates of Security files check the following services:
  20.  
  21.      http://www.iss.net/
  22.      ftp ftp.iss.net /pub/faq/
  23.  
  24. To subscibe to the update mailing list, Alert, send an e-mail to
  25. request-alert@iss.net and, in the text of your message (not the subject
  26. line), write:
  27.  
  28.      subscribe alert
  29.  
  30. ----------------------------------------------------------------------------
  31.  
  32. Security Patches FAQ for your System: The Patch List
  33.  
  34. As new systems become accessible by networks there is a need for security.
  35. Many systems are shipped insecure which puts the responsibility on the
  36. customers to find and apply patches. This FAQ will be a guide for the many
  37. administrators who want to secure their systems.
  38.  
  39. This FAQ is broken down into the different sections:
  40.  
  41.   1. Generic Things to Look For
  42.   2. Type of Operating System and its Vulnerabilities.
  43.         o AIX
  44.         o DEC
  45.         o HPUX
  46.         o NEXT
  47.         o SCO
  48.         o Sun Microsystems
  49.         o SGI
  50.   3. Particular Vulnerabilities
  51.         o FTP
  52.         o Sendmail
  53.         o HTTPd (WWW)
  54.         o Rdist
  55.         o IP Spoofing attacks
  56.         o Hijacking terminal connections
  57.   4. Unpatched Vulnerabilities (Bugs that the Vendor has not Fixed)
  58.  
  59. ----------------------------------------------------------------------------
  60.  
  61. Part 1 - Generic Things to Look For
  62.  
  63.    * Firewalling is one of the best methods of stopping pontential
  64.      intruders. Block all UDP traffic except for DNS and nameserver ports.
  65.      Block all source routing and rlogin and rsh at the router if possible.
  66.  
  67.    * Run ISS (Internet Security Scanner) regulary. This package allows an
  68.      administrator to do an audit of the network and notify him of any
  69.      security misconfigurations or anomalies that allow intruders in
  70.      therefore allowing him to take corrective measures before his network
  71.      is compromised. It is available on aql.gatech.edu:/pub/security/iss
  72.  
  73.    * Run Tiger regularly. It is available on net.tamu.edu:/pub/security/TAMU
  74.  
  75.      Password Security
  76.  
  77.         o Use one-time password technology like s/key. This package makes
  78.           sniffing passwords useless since the password that goes over the
  79.           network is only used once. It is available on
  80.           ftp:thumper.bellcore.com:/pub/nmh/skey
  81.  
  82.         o Shadowing passwords is useful against dictionary passwd cracking
  83.           attacks.
  84.  
  85.         o Replace passwd with a program that will not allow your users to
  86.           pick easy passwords.
  87.  
  88.         o Check for all easy-to-guess passwords with Crack which is
  89.           available on ftp.cert.org:/pub/tools/crack by Alec Muffett
  90.           (alecm@sun.com) .
  91.  
  92.    * Do a rpcinfo -p command and check to make sure rexd is not running.
  93.  
  94.    * TFTP should be turned off unless needed because it can be used to grab
  95.      password files remotely.
  96.  
  97.    * Make sure there is no '+' in /etc/hosts.equiv or any .rhosts.
  98.  
  99.    * Make sure there are no '#' in /etc/hosts.equiv or any .rhosts.
  100.  
  101.    * Make sure there are no funny commands in any .forward.
  102.  
  103.    * Make sure there are no cleartext passwords in any .netrc.
  104.  
  105.    * Do a showmount -e command to see your exports and make sure they are
  106.      restricted to only trusted hosts. Make sure all exports have an access
  107.      list.
  108.  
  109.    * Use Xauthority when using X11 or openwin.
  110.  
  111.    * You may want to remove the suid from rdist, chill, pstat, and arp. They
  112.      are known to cause security problems on generic default machine.
  113.  
  114.    * Run tripwire regularly. It is available on
  115.      coast.cs.purdue.edu:/pub/COAST/Tripwire
  116.  
  117.    * Run COPS regulary. It is available on ftp.cert.org:/pub/tools/cops
  118.  
  119.    * Run a TCP Wrapper. It is available on
  120.      ftp.win.tue.nl:/pub/security/tcp_wrappers_6.3.shar.Z
  121.  
  122.    * Identd may help locate accounts that intruders are using on remote and
  123.      local machines. It is on ftp.lysator.liu.se:/pub/ident/servers
  124.  
  125. ----------------------------------------------------------------------------
  126.  
  127. Part 2 - Type of Operating System and its Vulnerabilities
  128.  
  129. To find some of the newer patches, using archie and xarchie can be a useful
  130. tool. Some caution must be used when using patches obtained from FTP sites.
  131. It is known that some ftp sites have been compromised in the past and files
  132. were replaced with trojans. Please verify the checksums for the patches.
  133. ----------------------------------------------------------------------------
  134.  
  135. AIX
  136.  
  137. Fixdist is a X Windows front end to the AIX PTF (Patch) Database. Fixdist
  138. package available at ftp:aix.boulder.ibm.com
  139.  
  140. Fixdist requirements:
  141.  
  142.      Software:
  143.         o AIX for RISC System/6000 Version 3.2.4 or above.
  144.         o AIX TCPIP Facilities (bosnet.tcpip.obj)
  145.         o AIXwindows 1.2.0 (X11R4) or AIXwindows 1.2.3 (X11R5).
  146.  
  147.      Connection Requirements
  148.         o The fixdist utility communicates to the ftp server using anonymous
  149.           ftp. There is no mail transport or Telnet requirement. The server
  150.           is currently available only on the Internet. If you are able to
  151.           download the utility, you are fully enabled use fixdist.
  152.  
  153.      Fixdist does not "install" any PTFs onto your system. It just transfers
  154.      the fixes to a target directory on your RISC System/6000.
  155.  
  156.      The AIX support line is at
  157.  
  158.           http://aix.boulder.ibm.com/pbin-usa/getobj.pl?/pdocs-usa/public.html/
  159.  
  160.      From that page, you can link to a forms-based keyword search, which you
  161.      can use to query with the terms "aix" and "security". The direct link
  162.      for the keyword search is:
  163.  
  164.           http://aix.boulder.ibm.com/pbin-usa/pub_search.pl
  165.  
  166. To turn off IP Forwarding and Source Routing, add the following to
  167. /etc/rc.net:
  168.  
  169.      /usr/sbin/no -o ipforwarding=0
  170.      /usr/sbin/no -o ipsendredirects=0
  171.      /usr/sbin/no -o nonlocsrcroute=0
  172.  
  173. ----------------------------------------------------------------------------
  174.  
  175. DEC
  176.  
  177. Security kits are available from Digital Equipment Corporation by contacting
  178. your normal Digital support channel or by request via DSNlink for electronic
  179. transfer.
  180.  
  181. Digital Equipment Corporation strongly urges Customers to upgrade to a
  182. minimum of ULTRIX V4.4 and DEC OSF/1 V2.0 then apply the Security Enhanced
  183. Kit.
  184.  
  185. - Please refer to the applicable Release Note information prior to upgrading
  186. your installation.
  187.  
  188. KIT PART NUMBERS and DESCRIPTIONS
  189.  
  190. CSC PATCH #
  191.  
  192. CSCPAT_4060  V1.0   ULTRIX    V4.3 thru V4.4  (Includes DECnet-ULTRIX V4.2)
  193. CSCPAT_4061  V1.0   DEC OSF/1 V1.2 thru V2.0
  194.  
  195.          These kits will not install on versions previous to ULTRIX V4.3
  196.          or DEC OSF/1 V1.2.
  197.  
  198. The ULTRIX Security Enhanced kit replaces the following images:
  199. /usr/etc/comsat                 ULTRIX V4.3, V4.3a, V4.4
  200. /usr/ucb/lpr                    "                      "
  201. /usr/bin/mail                   "                      "
  202. /usr/lib/sendmail               "                      "
  203.                     *sendmail - is a previously distributed solution.
  204.  
  205. /usr/etc/telnetd                ULTRIX V4.3, V4.3a only
  206.  
  207. For DECnet-ULTRIX V4.2  installations:
  208.  
  209. /usr/etc/dlogind
  210. /usr/etc/telnetd.gw
  211.  
  212. The DEC OSF/1 Security Enhanced kit replaces the following images:
  213.  
  214. /usr/sbin/comsat                DEC OSF/1 V1.2, V1.3 V2.0
  215. /usr/bin/binmail
  216. /usr/bin/lpr                    "                       "
  217.  
  218. /usr/sbin/sendmail              DEC OSF/1 V1.2, V1.3  only
  219.                     *sendmail - is a previously distributed solution.
  220. /usr/bin/rdist                  "                       "
  221. /usr/shlib/libsecurity.so       DEC OSF/1 V2.0 only
  222.  
  223. ----------------------------------------------------------------------------
  224.  
  225. HPUX
  226.  
  227. In order to retrieve any document that is described in this index, send the
  228. following in the TEXT PORTION OF THE MESSAGE to
  229. support@support.mayfield.hp.com:
  230.  
  231. send doc xxxxxxxxxxxx
  232.  
  233. Summary of 'Security Bulletins Index' documents
  234.  
  235. Document Id    Description
  236. HPSBMP9503-003 Security Vulnerability (HPSBMP9503-003) in MPE/iX releases
  237. HPSBMP9503-002 Security Vulnerability (HPSBMP9503-002) in MPE/iX releases
  238. HPSBMP9503-001 Security Vulnerability (HPSBMP9503-001) in MPE/iX releases
  239. HPSBUX9502-024 /usr/lib/sendmail has two security vulnerabilities
  240. HPSBUX9502-023 Security vulnerability in `at' & `cron'
  241. HPSBUX9502-022 Security Vulnerability involving malicious users
  242. HPSBUX9502-021 No current vulnerability in /bin/mail (or /bin/rmail)
  243. HPSBUX9501-020 Security Vulnerability in HP Remote Watch
  244. HPSBUX9411-019 Security Vulnerability in HP SupportWatch
  245. HPSBUX9410-018 Security Vulnerability in xwcreate/gwind
  246. HPSBUX9409-017 Security Vulnerability in CORE-DIAG fileset
  247. HPSBUX9408-000 Sum and MD5 sums of HP-UX Security Bulletins
  248. HPSBUX9408-016 Patch sums and the MD5 program
  249. HPSBUX9407-015 Xauthority problem
  250. HPSBUX9406-014 Patch file permissions vulnerability
  251. HPSBUX9406-013 vhe_u_mnt allows unauthorized root access
  252. HPSBUX9405-011 Security Vulnerability in HP GlancePlus
  253. HPSBUX9405-009 PROBLEM:  Incomplete implementation of OSF/AES standard
  254. HPSBUX9405-010 ftpd: SITE CHMOD / race condition vulnerability
  255. HPSBUX9405-012 Security vulnerability in Multimedia Sharedprint
  256. HPSBUX9404-007 HP-UX does not have ftpd SITE EXEC vulnerability
  257. HPSBUX9404-008 Security Vulnerability in Vue 3.0
  258. HPSBUX9402-006 Security Vulnerability in DCE/9000
  259. HPSBUX9402-005 Security Vulnerability in Hpterm
  260. HPSBUX9402-004 Promiscuous mode network interfaces
  261. HPSBUX9402-003 Security Vulnerability in Subnetconfig
  262. HPSBUX9312-002 Security Vulnerability in Xterm
  263. HPSBUX9311-001 Security Vulnerability in Sendmail
  264.  
  265. If you would like to obtain a list of additional files available via the HP
  266. SupportLine mail service, send the following in the TEXT PORTION OF THE
  267. MESSAGE to support@support.mayfield.hp.com:
  268.  
  269.      send file_list
  270.  
  271. To get the newest security patch list:
  272.  
  273.      send security_info_list
  274.  
  275. To get the most current security patches for each version of OS:
  276.  
  277.      send hp-ux_patch_matrix
  278.  
  279. HP-patches and patch-information are available by WWW:
  280.  
  281.   1. with URL http://support.mayfield.hp.com/slx/html/ptc_hpux.html
  282.      http://support.mayfield.hp.com/slx/html/ptc_get.html
  283.  
  284.   2. or by appending the following lines to your
  285.      $HOME/.mosaic-hotlist-default and using the --> navigate --> hotlist
  286.      option.
  287.  
  288. HP has a list of checksums for their security patches. Highly recommended
  289. you always compare patches with the checksum for corruption and trojans.
  290. ----------------------------------------------------------------------------
  291.  
  292. NEXT
  293.  
  294. There are some security patches on
  295. ftp.next.com:/pub/NeXTanswers/Files/Patches
  296.  
  297.      SendmailPatch.23950.1
  298.      RestorePatch.29807.16
  299.  
  300. ftp.next.com:/pub/NeXTanswers/Files/Security contains some security
  301. advisories.
  302.  
  303. Be sure to check for Rexd and uuencode alias.
  304. ----------------------------------------------------------------------------
  305.  
  306. SCO Unix
  307.  
  308. Current releases of SCO UNIX (3.2v4.2) and Open Desktop (3.0) has the
  309. following security patches available:
  310.  
  311.      uod368b -- passwd
  312.      oda377a -- xterm, scoterm, scosession, clean_screen
  313.  
  314. These can be downloaded from ftp.sco.com:/SLS. First get the file "info"
  315. which lists the actual filenames and descriptions of the supplements.
  316.  
  317. Security problems were made aware by 8LGM in the following programs for SCO:
  318.  
  319.    * at(C)
  320.    * login(M)
  321.    * prwarn(C)
  322.    * sadc(ADM)
  323.    * pt_chmod
  324.  
  325. These programs, which allowed regular users to become SuperUser (root),
  326. affect the following SCO Products:
  327.  
  328.    * SCO Unix System V/386 Release 3.2 Versions 4.2, 4.1, and 4.0
  329.    * SCO Open Desktop Lite Release 3.0
  330.    * SCO Open Desktop Release 3.0 and 2.0
  331.    * SCO Open Server Network System Release 3.0
  332.    * SCO Open Server Enterprise System Release 3.0
  333.  
  334. You need the following patches which are available at ftp.sco.com:/SSE:
  335.  
  336.      Binary             Patch
  337.      ------             ------
  338.      at(C)              sse001
  339.      login(M)           sse002
  340.      prwarn(C)          sse003
  341.      sadc(ADM)          sse004
  342.      pt_chmod           sse005
  343.  
  344. To contact SCO, send electronic mail to support@sco.com.
  345.  
  346. ----------------------------------------------------------------------------
  347.  
  348. Sun Microsystems, Inc. SunOS 4.x and Solaris 2.x
  349.  
  350. Patches may be obtained via anonymous ftp from
  351. ftp.uu.net:/systems/sun/sun-dist or from local Sun Answer Centers worldwide.
  352. Sun makes lists of recommended patches (including security patches)
  353. available to customers with support contracts via its Answer Centers and the
  354. SunSolve service. The lists are uploaded on an informal basis to the
  355. ftp.uu.net patch repository maintained by Sun for other customers, and
  356. posted periodically on the comp.security.unix newsgroup.
  357.  
  358. Patches are also available via anonymous ftp from
  359. sunsolve1.sun.com:/pub/patches online.sunsolve.sun.co.uk:/pub/patches/
  360.  
  361. Check out the the sunsolve www-page at http://online.sunsolve.sun.co.uk/
  362.  
  363. Below is a list of security patches that should be implemented. Please use
  364. Sun's patch list for the authoritative answer. If you see any discrepencies
  365. please notify Christopher Klaus (cklaus@iss.net).
  366.  
  367. 100075-12       rpc.lockd jumbo patch for SunOS 4.1.3
  368. 101817-01       rpc.lockd jumbo patch for SunOS 4.1.x, x<3 (same as 10075-11).
  369. 100103-11       script to change file permissions to a more secure mode
  370. 100170-10       jumbo-patch ld-1.144 shared LD_LIBRARY_PATH -Bstatic SPARCworks
  371. 100173-09       NFS Jumbo Patch
  372. 100178-08       netd "broken server detection" breaks on fast machines
  373. 100249-09       automounter jumbo patch
  374. 100272-07       security hole in utmp writable
  375. 100283-03       in.routed mishandles gateways, multiple routes
  376. 100296-04       rpc.mountd exports to the world
  377. 100305-14       lpr package
  378. 100338-05       system crashes with assertion failed panic.(may be obsolete)
  379. 100342-03       NIS client needs long recovery time if server reboots
  380. 100359-06       streams jumbo patch
  381. 100383-06       rdist can be used to get root access
  382. 100421-03       rpc.rexd does not log appropriate accounting messages
  383. 100448-01       loadmodule
  384. 100482-04       ypxfrd exporting NIS maps to everybody
  385. 100507-04       tmpfs jumbo patch
  386. 100527-03       rsh uses old-style selects instead of 4.0 selects
  387. 100536-02       NFS can cause panic: assertion failed crashes
  388. 100557-02       ftp Jumbo patch
  389. 100564-07       C2 Jumbo patch
  390. 100567-04       mfree panic due to mbuf being freed twice
  391. 100593-03       security hole in utmp writable
  392. 100623-03       UFS jumbo patch
  393. 100909-02       security hole in utmp writable
  394. 101480-01       security hole in utmp writable
  395. 101481-01       security hole in utmp writable
  396. 101482-01       security hole in utmp writable
  397. 102060-01       Fixes the passwd -F hole.
  398. 101436-08       Fix for /bin/mail
  399.  
  400. Solaris 2.2 Recommended Patches:
  401.  
  402. 100982-03  SunOS 5.2: fixes for kernel/fs/fifofs
  403. 100992-03  SunOS 5.2: streams related panics involving local transport
  404. 100999-71  SunOS 5.2: kernel jumbo patch
  405. 101014-05  SunOS 5.2: fixes for usr/lib/libsocket
  406. 101022-06  SunOS 5.2: NIS/NIS+ jumbo patches
  407. 101025-14  SunOS 5.2: Jumbo patch fixes for lp system
  408. 101031-02  SunOS 5.2: file descriptor limit is too low on inetd
  409. 101090-01  SunOS 5.2: fixes security hole in expreserve
  410. 101096-02  SunOS 5.2: fixes for rpcbind
  411. 101109-04  SunOS 5.2: fixes problems with ldterm, ptm, pts
  412. 101122-07  SunOS 5.2: fixes for the packaging utilities
  413. 101301-03  SunOS 5.2: security bug & tar fixes
  414. 101348-01  SunOS 5.2: system hangs due to mblk memory leak
  415.  
  416. Solaris 2.3 Recommended Patches:
  417.  
  418. 101317-11  SunOS 5.3: lp jumbo patch
  419. 101318-59  SunOS 5.3: Jumbo patch for kernel (includes libc, lockd)
  420. 101327-08  SunOS 5.3: security and miscellaneous tar fixes
  421. 101331-05  SunOS 5.3: fixes for package utilities
  422. 101344-11  SunOS 5.3: Jumbo NFS patch security
  423. 101347-02  SunOS 5.3: fixes for ttcompat
  424. 101615-02  SunOS 5.3: miscellaneous utmp fixes
  425. 101631-02  SunOS 5.3: kd and ms fixes
  426. 101712-01  SunOS 5.3: uucleanup isn't careful enough when sending mail
  427. 102034-01  SunOS 5.3: portmapper security hole
  428. 101889-03  OpenWindows 3.3: filemgr forked executable ff.core has a se
  429.  
  430. Solaris 2.4 Recommended Patches:
  431.  
  432. 101945-13  SunOS 5.4: jumbo patch for kernel
  433. 101959-02  SunOS 5.4: lp jumbo patch
  434. 101981-01  SunOS 5.4: SECURITY: su can display root password in the co
  435. 102007-01  SunOS 5.4: vnode v_count is not maintained correctly
  436. 102044-01  SunOS 5.4: bug in mouse code makes "break root" attack poss
  437. 102070-01  SunOS 5.4: Bugfix for rpcbind/portmapper
  438.  
  439. Sendmail patches are important. Check out Sendmail section.
  440.  
  441. Turn off IP-Forward on SunOs Kernel and kmem via:
  442.  
  443.      "echo ip_forwarding/W 0" | adb -w /vmunix /dev/kmem
  444.  
  445. To turn off source routed packets on Solaris 2.X. Edit /etc/rc.2.d/S69.inet
  446. and change
  447.  
  448.      ndd -set /dev/ip ip_forwarding 0
  449.      ndd -set /dev/ip ip_ip_forward_src_routed 0
  450.  
  451. reboot.
  452.  
  453. Source routing patch for SunOs 4.1.x
  454. ftp.greatcircle.com:/pub/firewalls/digest/v03.n153.Z
  455.  
  456. To Secure a Sun console physically:
  457. (for desktop sparc models)
  458.  
  459.      $su
  460.      #eeprom security-mode=command
  461.      Password:
  462.      Retype password:
  463.      #
  464.  
  465. (for other models)
  466.  
  467.      $su
  468.      #eeprom secure=command
  469.      Password:
  470.      Retype password:
  471.      #
  472.  
  473. This restricts access to the new command mode.
  474.  
  475. Remove suid from crash, devinfo. These both are known to be exploitable on
  476. some Sun and are rarely used.
  477. The following is a package of patches for SunOs from Australian group SERT:
  478. ftp.sert.edu.au:/security/sert/tools/MegaPatch.1.7.tar.Z
  479.  
  480. Solaris 2.x Patches
  481.  
  482. Here are some file permission problems that exist on Solaris 2.3 and maybe
  483. exist on Solaris 2.4 that you should check and correct. Many file permission
  484. problems are fixed with a fix-mode module in the auto-install package:
  485.  
  486. ftp.fwi.uva.nl:/pub/solaris/auto-install/* .
  487.  
  488. After each patch installation, you will need to re-run the fix-mode.
  489.  
  490.   1. Problem: As distributed, /opt/SUNWdxlib contains many _world_ writeable
  491.      files, including executables. A trojan may be inserted into an
  492.      executable by any user allowing them access to the accounts of anyone
  493.      executing it.
  494.  
  495.      Solution:
  496.  
  497.           "find /opt/SUNWdxlib -exec chmod go-w {} \;"
  498.  
  499.      Fix-modes will do a better job correcting permissions. You can do a
  500.      simple check for trojans with:
  501.  
  502.           "pkgchk SUNWdxlib".
  503.  
  504.   2. Problem: By default, /var/nis/{hostname}.dict is _world_ writeable.
  505.      "man -s4 nisfiles" says "This file is a dictionary that is used by the
  506.      NIS+ database to locate its files." A quick look at it will show things
  507.      like "/var/nis/{hostname}/passwd.org_dir". By changing this to, say,
  508.      "/tmp/{hostname}/passwd.org_dir", it _may_ be possible to replace the
  509.      NIS+ password (or any arbitrary) map with a bogus one. There are also
  510.      many files in /var/nis/{hostname} that are world writeable. However,
  511.      since /var/nis/{hostname} is root owned, mode 700, this shouldn't be a
  512.      problem. It also shouldn't be necessary. All the files in
  513.      /var/nis/{hostname} are world readable which is not a good way to have
  514.      shadow passwords.
  515.  
  516.      Solution: By putting a "S00umask.sh" with contents "umask 022" in each
  517.      /etc/rc?.d it will make sure that all daemons will start with an umask
  518.      of 022.
  519.  
  520.      The default umask really should be 022, not 0.
  521.  
  522.      "strings /var/nis/{hostname}.dict" to make sure all the paths are sane,
  523.      then to correct permissions:
  524.  
  525.           "chmod 644 /var/nis/{hostname}.dict"
  526.           "chmod 700 /var/nis/{hostname}"
  527.           "chmod 600 /var/nis/{hostname}/*"
  528.  
  529.   3. Problem: /etc/hostname.le0 is _world_ writeable. This allows anyone to
  530.      change the address of the ethernet interface.
  531.  
  532.      Solution:
  533.  
  534.           "chmod 644 /etc/hostname.le0"
  535.  
  536.   4. Problem: /var/statmon, /var/statmon/sm, and /var/statmon/sm.bak are
  537.      _world_ writeable directories. They are used by statd to "provide the
  538.      crash and recovery functions for the locking services of NFS. You could
  539.      trick an NFS client into thinking a server crashed.
  540.  
  541.      Solution:
  542.  
  543.           "find /var/statmon -exec chmod o-w {} \;"
  544.  
  545.   5. Problem: The following files are _world_ writeable:
  546.  
  547.           /var/adm/vold.log
  548.           /var/log/syslog*
  549.           /var/lp/logs/lpsched
  550.           /var/lp/logs/lpNet
  551.           /etc/mnttab
  552.           /etc/path_to_inst.old
  553.           /var/saf/_log
  554.           /etc/rmtab
  555.  
  556.      Solution: It may not be possible to tighten up permissions on all the
  557.      world writeable files out there without breaking something. However,
  558.      it'd be a good idea to at least know what they are. Something like:
  559.  
  560.           "find / -user root \( -type d -o -type f \) -perm -2 -ls"
  561.  
  562.      will at least let you know which files may contain bogus information.
  563.      Checking for other than root, bin, sys, lp, etc. group writeable files
  564.      would be a good idea as well.
  565.  
  566.   6. Problem: Solaris still ships /usr/kvm/crash mode 2755 which allows
  567.      anyone to read kmem.
  568.  
  569.      Solution: Change permission to 0755.
  570.  
  571.   7. Problem: /etc, /usr/ and /usr/sys may have mode 775 which allows groups
  572.      to write over files.
  573.  
  574.      Solution: Change permissions to 755.
  575.  
  576. ----------------------------------------------------------------------------
  577.  
  578. SGI
  579.  
  580. ftp.sgi.com and sgigate.sgi.com have a "/security" directory.
  581.  
  582. {3.3,4.0,5.0} including sendmail and lpr. lpr allowed anyone to get root
  583. access.
  584.  
  585. Patch65 and patch34 correct vulnerability in SGI help system which enabled
  586. users to gain root priviledges.
  587.  
  588.                 Standard      System V       MD5
  589.                 Unix          Unix           Digital Signature
  590. patch34.tar.Z:  11066 15627   1674 31253     2859d0debff715c5beaccd02b6bebded
  591. patch65.tar:    63059 1220    15843 2440     af8c120f86daab9df74998b31927e397
  592.  
  593. Check for the Following: Default accounts with no passwords: 4DGifts, lp,
  594. nuucp, demos, tutor, guest, tour
  595.  
  596. To Disable IP_Forwarding on SGI:
  597. edit /usr/sysgen/master.d
  598. change int ipforwarding = 1 to 0;
  599. then recompile kernel by autoconfig -f; for IRIX 4.0.5
  600.  
  601. Remove suid from /usr/sbin/colorview
  602. Remove suid from /usr/lib/vadmin/serial_ports on Irix 4.X
  603. Remove suid from /usr/lib/desktop/permissions
  604. Remove suid from /usr/bin/under
  605.  
  606. /usr/etc/arp is setgid sys in IRIX up to and including 5.2, allowing anyone
  607. who can log into your machine to read files which should be readable only by
  608. group 'sys'.
  609. Remove suid from /usr/sbin/cdinstmgr
  610. Remove suid from /etc/init.d/audio
  611. chmod g-w /usr/bin/newgrp
  612.  
  613. /usr/sbin/printers has a bug in IRIX 5.2 (and possibly earlier 5.x versions)
  614. which allows any user to become root.
  615.  
  616. /usr/sbin/sgihelp has a bug in IRIX 5.2 (and possibly earlier 5.x versions)
  617. which allows any user to become root. This is so bad that the patch is
  618. FTPable from ftp.sgi.com:/security/, and SGI is preparing a CD containing
  619. only that patch.
  620.  
  621. The version of inst which comes with patch 34, which is required for
  622. installation of all other patches (even those with lower numbers) saves old
  623. versions of binaries in /var/inst/patchbase. It does not remove execution or
  624. setuid permissions.
  625.  
  626. Irix has many built-in security knobs that you should know how to turn them
  627. on.
  628.  
  629. Manpage                 Things to look for
  630. -------         ---------------------------------------------------
  631.  
  632. login           setup /etc/default/login to log all attempts with
  633.                 SYSLOG=ALL, add support for external authentication
  634.                 programs with SITECHECK=/path/to/prog
  635.  
  636. portmap         use '-a  mask,match' to restrict most of the portmap
  637.                 services to a subset of hosts or networks
  638.                 use '-v' to log all unprivileged accesses to syslog
  639.  
  640. rshd            use '-l' to disable validation using .rhosts files
  641.                 use '-L' to log all access attempts to syslog
  642.  
  643. rlogind         use '-l' to disable validation using .rhosts files
  644.                 (beware, this was broken prior to IRIX 5.3)
  645.  
  646. fingerd         use '-l' to log all connections
  647.                 use '-S' to suppress information about login status,
  648.                 home directory, and shell
  649.                 use '-f msg-file' to make it just display that file
  650.  
  651. ipfilterd       IP packet filtering daemon
  652.  
  653. ----------------------------------------------------------------------------
  654.  
  655. Part 3 - Particular Vulnerabilities
  656.  
  657. Ftp
  658.  
  659. Check the Sendmail Patches
  660.  
  661. IBM Corporation
  662.  
  663. A possible security exposure exists in the bos.obj sendmail subsystem in all
  664. AIX releases.
  665.  
  666. The user can cause arbitrary data to be written into the sendmail queue
  667. file. Non-privileged users can affect the delivery of mail, as well as run
  668. programs as other users.
  669.  
  670. Workaround
  671.  
  672. A. Apply the patch for this problem. The patch is available from
  673. software.watson.ibm.com. The files will be located in the /pub/aix/sendmail
  674. in compressed tar format. The MD5 checksum for the binary file is listed
  675. below, ordinary "sum" checksums follow as well.
  676.  
  677.            File            sum             MD5 Checksum
  678.            ----            ---             ------------
  679.            sendmail.tar.Z 35990           e172fac410a1b31f3a8c0188f5fd3edb
  680.  
  681. B. The official fix for this problem can be ordered as Authorized Program
  682. Analysis Report (APAR) IX49257
  683.  
  684. To order an APAR from IBM in the U.S. call 1-800-237-5511 and ask for
  685. shipment as soon as it is available (in approximately two weeks). APARs may
  686. be obtained outside the U.S. by contacting a local IBM representative.
  687.  
  688. Motorola Computer Group (MCG)
  689.  
  690. The following MCG platforms are vulnerable:
  691.  
  692.      R40
  693.      R32 running CNEP add-on product
  694.      R3 running CNEP add-on product
  695.  
  696. The following MCG platforms are not vulnerable:
  697.  
  698.      R32 not including CNEP add-on product
  699.      R3 not including CNEP add-on product
  700.      R2
  701.      VMEEXEC
  702.      VERSADOS
  703.  
  704. The patch is available and is identified as "patch_43004 p001" or
  705. "SCML#5552". It is applicable to OS revisions from R40V3 to R40V4.3. For
  706. availability of patches for other versions of the product contact your
  707. regional MCG office at the numbers listed below.
  708.  
  709. Obtain and install the appropriate patch according to the instructions
  710. included with the patch.
  711.  
  712. The patch can be obtained through anonymous ftp from ftp.mcd.mot.com
  713. [144.191.210.3] in the pub/patches/r4 directory. The patch can also be
  714. obtained via sales and support channels. Questions regarding the patch
  715. should be forwarded to sales or support channels.
  716.  
  717. For verification of the patch file:
  718.  
  719.         Results of      sum -r  == 27479 661
  720.                         sum     == 32917 661
  721.                         md5     == 8210c9ef9441da4c9a81c527b44defa6
  722.  
  723. Contact numbers for Sales and Support for MCG:
  724.  
  725.      United States (Tempe, Arizona)
  726.      Tel: +1-800-624-0077
  727.      Fax: +1-602-438-3865
  728.  
  729.      Europe (Brussels, Belgium)
  730.      Tel: +32-2-718-5411
  731.      Fax: +32-2-718-5566
  732.  
  733.      Asia Pacific / Japan (Hong Kong)
  734.      Tel: +852-966-3210
  735.      Fax: +852-966-3202
  736.  
  737.      Latin America / Australia / New Zealand (U.S.)
  738.      Tel: +1 602-438-5633
  739.      Fax: +1 602-438-3592
  740.  
  741. Open Software Foundation
  742.  
  743. The local vulnerability described in the advisory can be exploited in OSF's
  744. OSF/1 R1.3 (this is different from DEC's OSF/1). Customers should apply the
  745. relevant portions of cert's fix to their source base. For more information
  746. please contact OSF's support organization at osf1-defect@osf.org.
  747.  
  748. The Santa Cruz Operation
  749.  
  750. SCO systems are not vulnerable to the IDENT problem. Systems running the
  751. MMDF mail system are not vulnerable to the remote or local problems.
  752.  
  753. The following releases of SCO products are vulnerable to the local problems.
  754.  
  755.      SCO TCP/IP 1.1.x for SCO Unix System V/386 Operating System
  756.      Release 3.2
  757.      Versions 1.0 and 2.0
  758.      SCO TCP/IP 1.2.x for SCO Unix System V/386 Operating System
  759.      Release 3.2
  760.      Versions 4.x
  761.      SCO TCP/IP 1.2.0 for SCO Xenix System V/386 Operating System
  762.      Release 2.3.4
  763.  
  764.      SCO Open Desktop Lite Release 3.0
  765.      SCO Open Desktop Release 1.x, 2.0, and 3.0
  766.      SCO Open Server Network System, Release 3.0
  767.      SCO Open Server Enterprise System, Release 3.0
  768.  
  769. Patches are currently being developed for the release 3.0 and 1.2.1 based
  770. products. The latest sendmail available from SCO, on Support Level
  771. Supplement (SLS) net382d, is also vulnerable.
  772.  
  773. Contacts for further information:
  774.  
  775. e-mail: support@sco.COM
  776.  
  777. USA, Canada, Pacific Rim, Asia, Latin America 6am-5pm Pacific Daylight Time
  778. (PDT)
  779.  
  780. 1-408-425-4726 (voice)
  781. 1-408-427-5443 (fax)
  782.  
  783. Europe, Middle East, Africa: 9am-5:30pm British Standard Time (BST)
  784.  
  785. +44 (0)923 816344 (voice)
  786. +44 (0)923 817781 (fax)
  787.  
  788. Sequent Computer Systems
  789.  
  790. Sequent customers should contact Sequent Customer Service and request the
  791. Fastpatch for sendmail.
  792.  
  793. phone: 1-800-854-9969.
  794. e-mail: service-question@sequent.com
  795.  
  796. Silicon Graphics, Inc.
  797.  
  798. At the time of writing of this document, patches/binaries are planned for
  799. IRIX versions 4.x, 5.2, 5.3, 6.0, and 6.0.1 and will be available to all SGI
  800. customers.
  801.  
  802. The patches/binaries may be obtained via anonymous ftp (ftp.sgi.com) or from
  803. your support/service provider.
  804.  
  805. On the anonymous ftp server, the binaries/patches can be found in either
  806. ~ftp/patches or ~ftp/security directories along with more current pertinent
  807. information.
  808.  
  809. For any issues regarding this patch, please, contact your support/service
  810. provider or send email to cse-security-alert@csd.sgi.com .
  811.  
  812. Sony Corporation
  813.  
  814.         NEWS-OS 6.0.3   vulnerable; Patch SONYP6022 [sendmail] is available.
  815.         NEWS-OS 6.1     vulnerable; Patch SONYP6101 [sendmail] is available.
  816.         NEWS-OS 4.2.1   vulnerable; Patch 0101 [sendmail-3] is available.
  817.                         Note that this patch is not included in 4.2.1a+.
  818.  
  819. Patches are available via anonymous FTP in the
  820. /pub/patch/news-os/un-official directory on ftp1.sony.co.jp [202.24.32.18]:
  821.  
  822.         4.2.1a+/0101.doc        describes about patch 0101 [sendmail-3]
  823.         4.2.1a+/0101_C.pch      patch for NEWS-OS 4.2.1C/a+C
  824.         4.2.1a+/0101_R.pch      patch for NEWS-OS 4.2.1R/RN/RD/aRD/aRS/a+R
  825.  
  826.         6.0.3/SONYP6022.doc     describes about patch SONYP6022 [sendmail]
  827.         6.0.3/SONYP6022.pch     patch for NEWS-OS 6.0.3
  828.  
  829.         6.1/SONYP6101.doc       describes about patch SONYP6101 [sendmail]
  830.         6.1/SONYP6101.pch       patch for NEWS-OS 6.1
  831.  
  832.         Filename                BSD             SVR4
  833.                                 Checksum        Checksum
  834.         --------------          ---------       ---------
  835.         4.2.1a+/0101.doc        55361 2         19699 4
  836.         4.2.1a+/0101_C.pch      60185 307       25993 614
  837.         4.2.1a+/0101_R.pch      35612 502       31139 1004
  838.         6.0.3/SONYP6022.doc     03698 2         36652 4
  839.         6.0.3/SONYP6022.pch     41319 436       20298 871
  840.         6.1/SONYP6101.doc       40725 2         3257 3
  841.         6.1/SONYP6101.pch       37762 434       4624 868
  842.  
  843.         MD5 checksums are:
  844.         MD5 (4.2.1a+/0101.doc) = c696c28abb65fffa5f2cb447d4253902
  845.         MD5 (4.2.1a+/0101_C.pch) = 20c2d4939cd6ad6db0901d6e6d5ee832
  846.         MD5 (4.2.1a+/0101_R.pch) = 840c20f909cf7a9ac188b9696d690b92
  847.         MD5 (6.0.3/SONYP6022.doc) = b5b61aa85684c19e3104dd3c4f88c5c5
  848.         MD5 (6.0.3/SONYP6022.pch) = 1e4d577f380ef509fd5241d97a6bcbea
  849.         MD5 (6.1/SONYP6101.doc) = 62601c61aef99535acb325cf443b1b25
  850.         MD5 (6.1/SONYP6101.pch) = 87c0d58f82b6c6f7811750251bace98c
  851.  
  852. If you need further information, contact your vendor.
  853.  
  854. Solbourne
  855.  
  856. Grumman System Support Corporation now performs all Solbourne software and
  857. hardware support. Please contact them for further information.
  858.  
  859. e-mail: support@nts.gssc.com
  860. phone: 1-800-447-2861
  861.  
  862. Sun Microsystems, Inc.
  863.  
  864. Sun has developed patches for all supported platforms and architectures,
  865. including Trusted Solaris, Solaris x86, and Interactive Unix. Note that Sun
  866. no longer supports the sun3 architecture and versions of the operating
  867. system that precede 4.1.3.
  868.  
  869. Current patches are listed below.
  870.  
  871.          OS version      Patch ID    Patch File Name
  872.          ----------      ---------   ---------------
  873.          4.1.3           100377-19   100377-19.tar.Z
  874.          4.1.3_U1        101665-04   101665-04.tar.Z
  875.          5.3             101739-07   101739-07.tar.Z
  876.          5.4             102066-04   102066-04.tar.Z
  877.          5.4_x86         102064-04   102064-04.tar.Z
  878.  
  879. The patches can be obtained from local Sun Answer Centers and through
  880. anonymous FTP from ftp.uu.net in the /systems/sun/sun-dist directory. In
  881. Europe, the patches are available from mcsun.eu.net in the /sun/fixes
  882. directory.
  883.  
  884. The patches are also available through the usual URL on World Wide Web.
  885.  
  886. Sun is issuing Security Bulletin #129 with details on February 22; the
  887. patches will become available worldwide during the 24 hours to follow.
  888.  
  889. HTTPd (WWW)
  890.  
  891. There is a bug in NCSA v1.3 HTTP Web server that allows anyone to execute
  892. commands remotely. The bug is due to overwriting a buffer. Please get the
  893. newest patch from ftp.ncsa.uiuc.edu. More information is available from
  894. http://hoohoo.ncsa.uiuc.edu/docs/patch_desc.html .
  895.  
  896. Rdist Patches
  897.  
  898. (Unless you really need rdist, chmod 000 rdist works fine.)
  899.  
  900. Apollo Domain/OS SR10.3 and SR10.3.5 (Fixed in SR10.4)
  901. a88k PD92_P0316
  902. m68k PD92_M0384
  903.  
  904. Cray Research, Inc. UNICOS 6.0/6.E/6.1 Field Alert #132 SPR 47600
  905.  
  906. IBM RS/6000 AIX levels 3005, 2006, 2007, and 3.2 apar ix23738
  907. Patches may be obtained by calling Customer Support at 1-800-237-5511.
  908.  
  909. NeXT Computer, Inc. NeXTstep Release 2.x
  910. Rdist available on the public NeXT FTP archives.
  911.  
  912. Silicon Graphics IRIX 3.3.x/4.0 (fixed in 4.0.1) Patches may be obtained via
  913. anonymous ftp from sgi.com in the sgi/rdist directory.
  914.  
  915. Solbourne OS/MP 4.1A Patch ID P911121003
  916.  
  917. Sun Microsystems, Inc. SunOS 4.0.3/4.1/4.1.1 Patch ID 100383-06
  918.  
  919. IP Spoofing Vulnerabilities
  920.  
  921. IP Spoofing attacks allow an intruder to send packets as if they were coming
  922. from a trusted host and some services based on IP based authenication allow
  923. an intruder to execute commands. Because these packets appear to come from a
  924. trusted host, it may be possible to by-pass firewall security. IP Spoofing
  925. is more detailed in the following papers:
  926.  
  927.    * "Security Problems in the TCP/IP Protocol Suite" by Steve Bellovin. It
  928.      is available for ftp from
  929.      research.att.com:/dist/internet_security/ipext.ps.Z
  930.  
  931.    * "A Weakness in the 4.2BSD Unix TCP/IP Software," by Robert T. Morris.
  932.      It is available for ftp from
  933.      research.att.com:/dist/internet_security/117.ps.Z
  934.  
  935. Some of the services based on IP authenication are:
  936.  
  937.    * Rsh
  938.    * Rlogin
  939.    * NFS
  940.    * NIS
  941.    * X Windows
  942.    * Services secured by TCP Wrappers access list.
  943.  
  944. It can help turn off these services especially Rsh and Rlogin.
  945.  
  946. You can filter out IP spoofed packets with certian routers with the use of
  947. the input filter. Input filter is a feature on the following routers:
  948.  
  949.    * Bay Networks/Wellfleet, version 5 and later
  950.    * Cabletron with LAN Secure
  951.    * Cisco, RIS software version 9.21 and later
  952.    * Livingston
  953.    * NSC
  954.  
  955. TCP Wrapper in conjunction with Identd can help to stop IP spoofing because
  956. then the intruder must not not only spoof the connection to Rsh/Rlogin, they
  957. must spoof the information to identd which is not as trivial.
  958.  
  959. TCP Wrapper is available on ftp.win.tue.nl:/pub/security/tcp_wrappers_6.
  960. 3.shar.Z
  961.  
  962. Identd is available on ftp.lysator.liu.se:/pub/ident/servers
  963.  
  964. Add the following to TCP Wrappers access list:
  965.  
  966.      ALL: UNKNOWN@ALL: DENY
  967.  
  968. This will drops all TCP connections where ident lookup fails.
  969.  
  970. Hijacking terminal connections
  971.  
  972. Intruders are using a kernel module called TAP that initially was used for
  973. capturing streams which allows you to view what a person is typing. You can
  974. use it to write to someone's steam, thus emulating that person typing a
  975. command and allowing an intruder to "hijack" their session.
  976.  
  977. Tap is available on ftp.sterling.com /usenet/alt.sources/volume92/Mar in the
  978. following files:
  979.  
  980.    * 920321.02.Z TAP - a STREAMS module/driver monitor (1.1)
  981.    * 920322.01.Z TAP - a STREAMS module/driver monitor (1.5) repost
  982.    * 920323.17.Z TAP - BIG BROTHERS STREAMS TAP DRIVER (1.24)
  983.  
  984. An intruder needs to install TAP as root. Therefore if you have installed
  985. all patches and taken the necessary precautions to eliminate ways to obtain
  986. root, the intruder has less chance of installing TAP. You can disable
  987. loadable modules on SunOs 4.1.x by editing the kernel configuraion file
  988. found in /sys/`arch -k`/conf directory and comment out the following line
  989. with a "#" character:
  990.  
  991.      options VDDRV # loadable modules
  992.  
  993. Then build and install the new kernel:
  994.  
  995.      # /etc/config CONFIG_NAME
  996.      # cd ../CONFIG_NAME
  997.      # make
  998.      # cp /vmunix /vmunix.orig
  999.      # cp vmunix /
  1000.      # sync; sync; sync
  1001.  
  1002. Reboot the system to activate the new kernel. You can also try to detect the
  1003. Tap program by doing the following command:
  1004.  
  1005.      modstat
  1006.  
  1007. Modstat displays all loaded modules. An intruder could trojan modstat as
  1008. well therefore you may want to verify the checksum of modstat.
  1009. ----------------------------------------------------------------------------
  1010.  
  1011. Part 4 - Unpatched Vulnerabilities
  1012.  
  1013. This is intended to let consumers know that these holes have already been
  1014. fully disclosed and everyone already knows about it. These are the
  1015. vulnerabilities that vendors are suppose to be releasing patches for ASAP.
  1016. Hopefully this list will stay short and small.
  1017.  
  1018. Vendor          Bug                 Result
  1019. Sun5.x          no promisc flags    Can not tell if machine is sniffing
  1020.  
  1021. ----------------------------------------------------------------------------
  1022.  
  1023. Acknowledgements
  1024.  
  1025. I would like to thank the following people for the contribution to this FAQ
  1026. that has helped to update and shape it:
  1027.  
  1028.    * Jonathan Zanderson (jsz@ramon.bgu.ac.il)
  1029.    * Rob Quinn <rjq@phys.ksu.edu>
  1030.    * Dr.-Ing. Rudolf Theisen, <r.theisen@kfa-juelich.de>
  1031.    * Gerald (Jerry) R. Leslie <jleslie@dmccorp.com>
  1032.    * Walker Aumann (walkera@druggist.gg.caltech.edu)
  1033.    * Chris Ellwood (cellwood@gauss.calpoly.edu)
  1034.    * Dave Millar (millar@pobox.upenn.edu)
  1035.    * Paul Brooks (paul@turbosoft.com.au)
  1036.  
  1037. ----------------------------------------------------------------------------
  1038.  
  1039. Copyright
  1040.  
  1041. This paper is Copyright (c) 1994, 1995, 1996
  1042.    by Christopher Klaus of Internet Security Systems, Inc.
  1043.  
  1044. Permission is hereby granted to give away free copies electronically. You
  1045. may distribute, transfer, or spread this paper electronically. You may not
  1046. pretend that you wrote it. This copyright notice must be maintained in any
  1047. copy made. If you wish to reprint the whole or any part of this paper in any
  1048. other medium excluding electronic medium, please ask the author for
  1049. permission.
  1050.  
  1051. Disclaimer
  1052.  
  1053. The information within this paper may change without notice. Use of this
  1054. information constitutes acceptance for use in an AS IS condition. There are
  1055. NO warranties with regard to this information. In no event shall the author
  1056. be liable for any damages whatsoever arising out of or in connection with
  1057. the use or spread of this information. Any use of this information is at the
  1058. user's own risk.
  1059.  
  1060. Address of Author
  1061.  
  1062. Please send suggestions, updates, and comments to:
  1063. Christopher Klaus <cklaus@iss.net> of Internet Security Systems, Inc.
  1064. <iss@iss.net>
  1065.  
  1066. Internet Security Systems, Inc.
  1067.  
  1068. ISS is the leader in network security tools and technology through
  1069. innovative audit, correction, and monitoring software. The Atlanta-based
  1070. company's flagship product, Internet Scanner, is the leading commercial
  1071. attack simulation and security audit tool. The Internet Scanner SAFEsuite is
  1072. based upon ISS' award-winning Internet Scanner and was specifically designed
  1073. with expanded capabilities to assess a variety of network security issues
  1074. confronting web sites, firewalls, servers and workstations. The Internet
  1075. Scanner SAFEsuite is the most comprehensive security assessment tool
  1076. available. For more information about ISS or its products, contact the
  1077. company at (770) 395-0150 or e-mail at iss@iss.net. ISS maintains a Home
  1078. Page on the World Wide Web at http://www.iss.net
  1079.