home *** CD-ROM | disk | FTP | other *** search
/ Forum of Incident Response & Security Teams / Forum_of_Incident_Response_and_Security_Teams_FIRST_October_1994.iso / teaminfo / nasirc / nasa9309.txt < prev    next >
Text File  |  1994-07-02  |  7KB  |  159 lines
  1.      NASIRC BULLETIN #93-09                        December 14, 1993
  2.  
  3.              SunOS Security vulnerability in /usr/etc/modload and
  4.             $OPENWINHOME/bin/loadmodule
  5.  
  6. ===========================================================================
  7.                __    __      __      ___   ___  ____     ____  
  8.               /_/\  /_/|    /_/     / _/\ /_/| / __/ \  / __/\ 
  9.               | |\ \| ||   /  \ \   | /\/ | || | /\ \/  | | \/ 
  10.               | ||\ \ ||  / /\ \ \   \ \  | || |_\/ /\  | |    
  11.               | || \ \|| / /--\ \ \ /\_\\ | || | |\ \ \ | \_/\ 
  12.               |_|/  \_|//_/    \_\/ \/__/ |_|/ |_| \_\/ \___\/ 
  13.              NASA Automated Systems Incident Response Capability
  14. ===========================================================================
  15.  
  16. NASIRC has learned of security vulnerabilities that exist within SunOS 
  17. pertaining to /usr/etc/modload and $OPENWINHOME/bin/loadmodule. In order to
  18. prevent a system from being vulnerable to compromise, it is important that
  19. SunOS sites install both patches described below, since patching only
  20. loadmodule will not close the system security vulnerability. 
  21.  
  22. These security vulnerabilities do not exist in Solaris 2.x or in Sun 3 
  23. architecture or any other verions of open windows.
  24.  
  25.  
  26. Patch information on /usr/openwin/bin/loadmodule:
  27. ------------------------------------------------ 
  28. A vulnerability exists in /usr/openwin/bin/loadmodule which could
  29. allow root access via the manipulation of environmental variables. 
  30. The program is a suid root program that calls /usr/etc/modload as 
  31. part of it's operation.  An individual must be able to execute a shell
  32. script on the system to exploit this vulnerability.  The recently
  33. discussed Sendmail vulnerability (refer to NASIRC Bulletin # 93-06),
  34. could allow an attacker to execute such a script without having to
  35. physically login to your system. The individual only needs to know
  36. basic UNIX commands to exploit this particular vulnerability. 
  37.  
  38.     Patch ID:  100448-02 (SunOS 4.1.x, Open Windows version 3.0 only)
  39.     Checksum:  19410    5    100448-02.tar.Z
  40.  
  41. *NOTE*:  The modload patch, described below, must also be installed to 
  42. close these security vulnerabilities.
  43.  
  44.  
  45. Patch information from Sun on /usr/etc/modload:
  46. ----------------------------------------------
  47. A vulnerability exists within /usr/etc/modload that allows root access 
  48. via the manipulation of environmental variables.  This process is 
  49. called via /usr/openwin/bin/loadmodule during normal operation.  
  50. Since /usr/openwin/bin/loadmodule is a suid root process, this called 
  51. process /usr/etc/modload must also be patched to secure all known 
  52. bugs.
  53.  
  54.     Patch ID: 101200-01 (SunOS 4.1.1, 4.1.2, 4.1.3 and 4.1.3C)
  55.     Checksum: 47050   29    101200-02.tar.Z
  56.  
  57. *NOTE*: The loadmodule patch described above must also be installed to 
  58. close this security vulnerability.
  59.  
  60.  
  61. ADDITIONAL INFORMATION:
  62. ----------------------
  63. One indicator that shows that the hole might have been exploited is to 
  64. check the system for /var/tmp/modload.out.
  65.  
  66. You might also want to run COPS or similar system-integrity checking 
  67. software after applying the patches to make sure no unauthorized
  68. setuid scripts were created. 
  69.  
  70. All SunOS security patches are available to customers who do not have 
  71. support contract, via anonymous ftp:
  72.  
  73.     - In the US, from /systems/sun/sun-dist on ftp.uu.net
  74.     - In Europe, from ~ftp/sun/fixes on ftp.eu.net
  75.  
  76. Patches announced by Sun are uploaded to these two sites just before 
  77. the release of a bulletin and are seldom updated.  In contrast, the 
  78. "supported" patch databases are refreshed nightly and will often 
  79. contain newer versions of a patch incorporating changes which are not 
  80. security-related.
  81.  
  82. If you require assistance obtaining or installing these patches, contact
  83. the NASIRC helpdesk. 
  84.  
  85. Security checklists, toolkits and guidance are available from the NASIRC
  86. online archives which are available to the NASA community via anonymous FTP
  87. from NASIRC.NASA.GOV. You will be required to enter your valid e-mail
  88. address. Contact the NASIRC Helpdesk for more information and assistance
  89. with toolkits or security measures. 
  90.  
  91.   NASIRC ACKNOWLEDGES: Jim Simmons of the University of Arizona for
  92.     bringing this vulnerability to our attention. We would like to formally
  93.     thank Mark Graff of SUN Microsystems for his assistance with coordinating
  94.     this alert and providing patch and security information about these
  95.     vulnerabilities.  A special thank you to Rob Jensen, Goddard Space Flight
  96.     Center, for providing technical assistance. 
  97.  
  98.   ==================================================================
  99.      For further assistance, please contact the NASIRC Helpdesk:
  100.      Phone: 1-800-7-NASIRC                Fax: 1-301-441-1853
  101.      Internet Email: nasirc@nasa.gov
  102.      24 Hour/Emergency Pager: 1-800-759-7243/Pin:5460866
  103.   ==================================================================
  104.      This bulletin may be forwarded without restrictions to sites and 
  105.      system administrators within the NASA community
  106.  
  107.                             -----------------
  108.  
  109.  PLEASE NOTE: Users outside of the NASA community may receive NASIRC
  110.     bulletins.  If you are not part of the NASA community, please contact
  111.     your agency's response team to report incidents.  Your agency's team
  112.     will coordinate with NASIRC, who will ensure the proper internal 
  113.     NASA team(s) are notified. NASIRC is a member of the Forum of Incident
  114.     Response and Security Teams (FIRST), a world-wide organization which 
  115.     provides for coordination between incident response teams in handling 
  116.     computer-security-related issues. 
  117.  
  118.     A list of FIRST member organizations and their constituencies can be
  119.     obtained by sending email to docserver@first.org with an empty subject
  120.     line and a message body containing the line: send first-contacts. 
  121.  
  122. ===========================================================================
  123.                        HOW TO INSTALL THE PATCHES TO
  124.               /usr/etc/modload and /usr/openwin/bin/loadmodule
  125.  
  126.  
  127. INSTALL /usr/etc/modload patch: 
  128. ------------------------------
  129. As root:
  130.  
  131.     Make a backup copy of the files to be installed:
  132.  
  133.     mv /usr/kvm/etc/modload    /usr/kvm/modload.orig
  134.  
  135.     Now install the patched files:
  136.  
  137.     cp sun4/modload        /usr/kvm/modload
  138.     chmod    755        /usr/kvm/modload
  139.  
  140.  
  141. NOTE:  You need to make sure that you set the file protection 
  142. correctly on /usr/kvm/modload.orig by doing the following:
  143.  
  144.     chmod 400 /usr/kvm/modload.orig
  145.  
  146.  
  147.  
  148. INSTALL /usr/bin/loadmodule: 
  149. ---------------------------
  150. As root, make a backup copy of loadmodule and then copy over the 
  151. patched version:
  152.  
  153.     mv $OPENWINHOME/bin/loadmodule $OPENWINHOME/bin/loadmodule.orig
  154.     chmod 400 $OPENWINHOME/bin/loadmodule.orig
  155.     cp sun4/loadmodule $OPENWINHOME/bin/loadmodule
  156.     chown root $OPENWINHOME/bin/loadmodule
  157.     chmod 4755 $OPENWINHOME/bin/loadmodule
  158.  
  159.