home *** CD-ROM | disk | FTP | other *** search
/ Forum of Incident Response & Security Teams / Forum_of_Incident_Response_and_Security_Teams_FIRST_October_1994.iso / teaminfo / ddnscc / 9420.txt < prev    next >
Text File  |  1994-07-08  |  11KB  |  258 lines
  1. **************************************************************************
  2. Security Bulletin 9420                 DISA Defense Communications System
  3. June 6, 1994             Published by: DDN Security Coordination Center
  4.                                       (SCC@NIC.DDN.MIL)   1-(800) 365-3642
  5.  
  6.                         DEFENSE  DATA  NETWORK
  7.                           SECURITY  BULLETIN
  8.  
  9.   The DDN SECURITY BULLETIN is distributed by the DDN SCC (Security
  10.   Coordination Center) under DISA contract as a means of communicating
  11.   information on network and host security exposures, fixes, and concerns
  12.   to security and management personnel at DDN facilities.  Back issues may
  13.   be obtained via FTP (or Kermit) from NIC.DDN.MIL [192.112.36.5]
  14.   using login="anonymous" and password="guest".  The bulletin pathname is
  15.   scc/ddn-security-yynn (where "yy" is the year the bulletin is issued
  16.   and "nn" is a bulletin number, e.g. scc/ddn-security-9302).
  17. **************************************************************************
  18.  
  19. + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
  20. !                                                                       !
  21. !     The following important  advisory was  issued by the Computer     !
  22. !     Emergency Response Team (CERT)  and is being relayed unedited     !
  23. !     via the Defense Information Systems Agency's Security             !
  24. !     Coordination Center  distribution  system  as a  means  of        !
  25. !     providing  DDN subscribers with useful security information.      !
  26. !                                                                       !
  27. + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
  28.  
  29. Organization: CERT Coordination Center
  30. Address:      Software Engineering Institute
  31.               Carnegie Mellon University
  32.               Pittsburgh, Pennsylvania 15213-3890
  33. Phone: +1 412 268-7090
  34. Fax:   +1 412 268-6989
  35.  
  36. =============================================================================
  37. CA-94:09                         CERT Advisory
  38.                                  May 23, 1994
  39.                             /bin/login Vulnerability
  40. -----------------------------------------------------------------------------
  41.  
  42. The CERT Coordination Center has learned of a vulnerability in
  43. /bin/login.  This vulnerability potentially affects all IBM AIX 3 
  44. systems and Linux systems.  At this time, we believe that only 
  45. IBM AIX 3 and Linux systems are at risk.
  46.  
  47. Included with this advisory is an appendix containing the
  48. CA-94:09.README, which lists the vendors who have responded to our
  49. inquiries, and the status of their investigation into this
  50. vulnerability report.  As we receive additional information relating
  51. to this advisory, we will place it, along with any clarifications, in
  52. the README file, available via anonymous FTP from info.cert.org.  We 
  53. encourage you to check the README files regularly for updates on
  54. advisories that relate to your site.  
  55.  
  56. -----------------------------------------------------------------------------
  57.  
  58. I.   Description of IBM AIX vulnerability
  59.  
  60.      A vulnerability exists in /bin/login on all IBM AIX 3 systems.
  61.  
  62. II.  Impact of IBM AIX vulnerability
  63.  
  64.      Remote users can obtain unauthorized root access on the affected
  65.      hosts. 
  66.  
  67. III. Solution for IBM AIX vulnerability
  68.  
  69.      IBM is working on an official fix, which is still under
  70.      development.  The reference number for this fix is APAR IX44254.
  71.      Until you obtain the official fix from IBM, we encourage you to
  72.      apply the workaround or install the emergency fix below.
  73.  
  74.         A. Workaround
  75.  
  76.            The recommended workaround is to disable the rlogin daemon:
  77.  
  78.            1. As root, edit /etc/inetd.conf
  79.               Comment out the line 'login ... rlogin'
  80.            2. Run 'inetimp'
  81.            3. Run 'refresh -s inetd'
  82.  
  83.         B. Emergency fix 
  84.  
  85.            The emergency fix for the different levels of AIX 3
  86.            affected by this vulnerability is available via anonymous
  87.            FTP from software.watson.ibm.com:/pub/rlogin/rlogin.tar.Z.
  88.            Installation instructions are included in the README file
  89.            (which is included in rlogin.tar.Z).
  90.  
  91.            Checksum information for rlogin.tar.Z:
  92.               BSD:      25285   317
  93.               SystemV:  13021 633 rlogin.tar.Z
  94.               MD5:      MD5 (rlogin.tar.Z) = 803ee38c2e3b8c8c575e2ff5e921034c
  95.  
  96.         C. Official fix 
  97.  
  98.            The official fix for this problem can be ordered as 
  99.            APAR IX44254. 
  100.  
  101.            To order an APAR from IBM in the U.S., call 1-800-237-5511 
  102.            and ask IBM to ship it as soon as it is available.
  103.            According to IBM, this fix will be available in
  104.            approximately two weeks.  APARs may be obtained outside the
  105.            U.S. by contacting your local IBM representative.  
  106.  
  107.  
  108. IV.  Description of Linux vulnerability
  109.  
  110.      A vulnerability exists in /bin/login for Linux systems.
  111.  
  112. V.   Impact of Linux vulnerability
  113.  
  114.      Any user, remote or local, can obtain unauthorized root access on
  115.      the affected hosts.
  116.  
  117. VI.  Solution for Linux vulnerability
  118.  
  119.      A patch that addresses the remote access problem has been made
  120.      available via anonymous FTP from sunsite.unc.edu: 
  121.  
  122.           /pub/Linux/system/Network/sunacm/URGENT/README.security
  123.           /pub/Linux/system/Network/sunacm/URGENT/security.tgz
  124.  
  125.      The "security.tgz" file includes other security fixes in addition
  126.      to the /bin/login patch. 
  127.  
  128.      Checksum information for README.security:
  129.           BSD:      09575     1
  130.           SystemV:  20945 1 README.security
  131.           MD5:      MD5 (README.security) = 41d14d7b8725c7a1015adeb49601619b
  132.  
  133.      Checksum information for security.tgz:
  134.           BSD:      32878   257
  135.           SystemV:  40797 513 security.tgz
  136.           MD5:      MD5 (security.tgz) = dd4585cf4da1b52d25d619bf45f55b75
  137.  
  138.      To address the local access problem, we encourage you to install
  139.      a version of /bin/login that does not allow the -f option in the
  140.      form "-f<user>", but only allows this option in the form 
  141.      "-f <user>", as two arguments.  At this time, we do not know
  142.      which versions of login.c are vulnerable.  As we receive
  143.      additional information, we will update the CA-94:09.README file.
  144.      Again, we encourage you to check this README file regularly for
  145.      updates.
  146.  
  147. ---------------------------------------------------------------------------
  148. The CERT Coordination Center wishes to thank Axel Clauberg of
  149. University of Cologne for reporting the IBM AIX problem, and 
  150. IBM for their assistance in responding to this problem.
  151. ---------------------------------------------------------------------------
  152.  
  153. If you believe that your system has been compromised, contact the CERT
  154. Coordination Center or your representative in Forum of Incident
  155. Response and Security Teams (FIRST).
  156.  
  157. If you wish to send sensitive incident or vulnerability information to
  158. CERT via electronic mail, CERT strongly advises that the e-mail be
  159. encrypted.  CERT can support a shared DES key, PGP (public key
  160. available via anonymous FTP on info.cert.org), or PEM (contact CERT
  161. for details).
  162.  
  163. Internet E-mail: cert@cert.org
  164. Telephone: 412-268-7090 (24-hour hotline)
  165.            CERT personnel answer 8:30 a.m.-5:00 p.m. EST(GMT-5)/EDT(GMT-4),
  166.            and are on call for emergencies during other hours.
  167.  
  168. CERT Coordination Center
  169. Software Engineering Institute
  170. Carnegie Mellon University
  171. Pittsburgh, PA 15213-3890
  172. USA
  173.  
  174. Past advisories and their associated README files, information about
  175. FIRST representatives, and other information related to computer
  176. security are available for anonymous  FTP from info.cert.org. 
  177.  
  178.  
  179. -----------------------------------------------------------------------------
  180. Appendix
  181.  
  182. CA-94:09.README
  183.  
  184. This file is a supplement to the CERT Advisory
  185. CA-94:09.bin.login.vulnerability of May 23, 1994, and will be updated
  186. as additional information becomes available. 
  187.  
  188. We have received feedback from these vendors, who indicated that their
  189. products are not vulnerable: 
  190.  
  191.      Amdahl
  192.      Apple 
  193.      BSD   
  194.      BSDI  
  195.      Harris
  196.      HP    
  197.      Motorola 
  198.      NeXT     
  199.      Pyramid  
  200.      SCO      
  201.      SGI      
  202.      Solbourne
  203.      Sony     
  204.      Sun      
  205.  
  206. CERT has verified that the following vendor products are not vulnerable:
  207.  
  208.      Free BSD 
  209.  
  210. We have received feedback from these vendors, who have made patches
  211. available to address the /bin/login vulnerability:
  212.  
  213.      IBM
  214.        workaround:       see Section III. Solution for IBM AIX
  215.                          vulnerability A. Workaround of CERT advisory
  216.                          CA-94:xx 
  217.        emergency patch:  software.watson.ibm.com:/pub/rlogin/rlogin.tar.Z
  218.        Official patch:   APAR IX44254
  219.  
  220.      Linux  
  221.        patch:  sunsite.unc.edu:/pub/Linux/system/Network/sunacm/URGENT/*
  222.  
  223.     
  224. ****************************************************************************
  225. *                                                                          *
  226. *    The point of contact for MILNET security-related incidents is the     *
  227. *    Security Coordination Center (SCC).                                   *
  228. *                                                                          *
  229. *               E-mail address: SCC@NIC.DDN.MIL                            *
  230. *                                                                          *
  231. *               Telephone: 1-(800)-365-3642                                *
  232. *                                                                          *
  233. *    NIC Help Desk personnel are available from 7:00 a.m.-7:00 p.m. EST,   *
  234. *    Monday through Friday except on federal holidays.                     *
  235. *                                                                          *
  236. ****************************************************************************
  237.  
  238. PLEASE NOTE: Many users outside of the DOD computing communities receive
  239. DDN Security bulletins.  If you are not part of DOD community, please
  240. contact your agency's incident response team to report incidents.  Your 
  241. agency's team will coordinate with DOD.  The Forum of Incident Response and
  242. Security Teams (FIRST) is a world-wide organization.  A list of FIRST member
  243. organizations and their constituencies can be obtained by sending email to
  244. docserver@first.org with an empty subject line and a message body containing
  245. the line: send first-contacts.
  246.  
  247. This document was prepared as an service to the DOD community.  Neither the 
  248. United States Government nor any of their employees, makes any warranty, 
  249. expressed or implied, or assumes any legal liability or responsibility for 
  250. the accuracy, completeness, or usefulness of any information, product, or 
  251. process disclosed, or represents that its use would not infringe privately 
  252. owned rights.  Reference herein to any specific commercial products, process,
  253. or service by trade name, trademark manufacturer, or otherwise, does not 
  254. necessarily constitute or imply its endorsement, recommendation, or favoring
  255. by the United States Government.  The opinions of the authors expressed herein
  256. do not necessarily state or reflect those of the United States Government, 
  257. and shall not be used for advertising or product endorsement purposes.
  258.