home *** CD-ROM | disk | FTP | other *** search
/ InfoMagic Standards 1994 January / InfoMagic Standards - January 1994.iso / inet / scc / 9115 < prev    next >
Text File  |  1991-09-15  |  6KB  |  129 lines
  1. ***********************************************************************
  2. DDN Security Bulletin 9115       DCA DDN Defense Communications System
  3. 11 Sept 91              Published by: DDN Security Coordination Center
  4.                                      (SCC@NIC.DDN.MIL)  (800) 235-3155
  5.  
  6.                         DEFENSE  DATA  NETWORK
  7.                           SECURITY  BULLETIN
  8.  
  9. The DDN  SECURITY BULLETIN  is distributed  by the  DDN SCC  (Security
  10. Coordination Center) under  DCA contract as  a means of  communicating
  11. information on network and host security exposures, fixes, &  concerns
  12. to security & management personnel at DDN facilities.  Back issues may
  13. be  obtained  via  FTP  (or  Kermit)  from  NIC.DDN.MIL  [192.67.67.20]
  14. using login="anonymous" and password="guest".  The bulletin pathname is
  15. SCC:DDN-SECURITY-yynn (where "yy" is the year the bulletin is issued
  16. and "nn" is a bulletin number, e.g. SCC:DDN-SECURITY-9001).
  17. **********************************************************************
  18.  
  19.                    Mac/PC NCSA Telnet Vulnerability
  20.  
  21. + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
  22. !                                                                       !
  23. !     The following important  advisory was  issued by the Computer     !
  24. !     Emergency Response Team (CERT)  and is being relayed unedited     !
  25. !     via the Defense Communications Agency's Security Coordination     !
  26. !     Center  distribution  system  as a  means  of  providing  DDN     !
  27. !     subscribers with useful security information.                     !
  28. !                                                                       !
  29. + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
  30.  
  31.  
  32.  
  33.  
  34. CA-91:15                        CERT Advisory
  35.                                September 10, 1991
  36.             Mac/PC NCSA Telnet Vulnerability
  37.  
  38. ---------------------------------------------------------------------------
  39.  
  40. The Computer Emergency Response Team/Coordination Center (CERT/CC) has
  41. received information concerning a vulnerability in the default
  42. configurations of National Center for Supercomputing Applications
  43. (NCSA) Telnet for both the Macintosh and the PC.  The vulnerability
  44. also affects the version of NCSA Telnet with IBM 3270 terminal
  45. emulation distributed by Clarkson University.  Two workarounds are
  46. available that correct this problem.
  47.  
  48. NCSA has committed to changing the default configurations in future
  49. releases.  Maintenance updates for both the Macintosh and the PC are
  50. planned to be released in about 2 months.
  51.  
  52. NCSA provides two e-mail addresses for Telnet questions, comments,
  53. and bug reports:
  54.  
  55.      PC Telnet        pctelnet@ncsa.uiuc.edu
  56.      Mac Telnet        mactelnet@ncsa.uiuc.edu
  57.  
  58. ---------------------------------------------------------------------------
  59.  
  60. I.   Description
  61.  
  62.      The default configuration of NCSA Telnet for both the Macintosh
  63.      and the PC has a serious vulnerability in its implementation of
  64.      an ftp server.
  65.  
  66.      The default configuration file enables ftp via the "ftp=yes"
  67.      line.  However, sites should be aware that ftp is also enabled
  68.      in the absence of any ftp statement in the configuration file.
  69.  
  70. II.  Impact
  71.  
  72.      Any Internet user can connect via ftp to a PC or Macintosh
  73.      running the default configuration of NCSA Telnet and gain
  74.      unauthorized read and write access to any of its files, including
  75.      system files.
  76.  
  77. III. Solution
  78.         
  79.      Either disable ftp server functionality or provide password
  80.      protection as described below.
  81.  
  82.      To disable the ftp server, add an "ftp=no" line in the
  83.      configuration file.
  84.  
  85.      If the ftp server option is enabled (via either an "ftp=yes" line 
  86.      in the configuration file or the absence of an ftp statement in the 
  87.      configuration file), then the Telpass program (included with both 
  88.      Mac and PC versions) can be used to provide password protection.  
  89.      Telpass is used to enter usernames and encrypted passwords into a 
  90.      password file.  The configuration file specifies the name and 
  91.      location of the password file in the "passfile=" statement.  The 
  92.      usage of Telpass is documented in Chapter 5 of version 2.4 of the 
  93.      Macintosh version documentation and Chapter 7 of version 2.3 of the 
  94.      PC version.  Note that the documentation (as well as the package 
  95.      itself) is available by anonymous ftp from ftp.ncsa.uiuc.edu 
  96.      (141.142.20.50).
  97.  
  98.      The instructions for enabling password protection differ between
  99.      the Macintosh and PC versions, but in both cases they involve
  100.      enabling the "passfile" option in the configuration file, and
  101.      creating usernames and encrypted passwords with the Telpass
  102.      program.  
  103.  
  104.      CERT/CC strongly urges all sites running NCSA Telnet to implement
  105.      one of these two workarounds.
  106.  
  107. ---------------------------------------------------------------------------
  108. The CERT/CC would like to thank NCSA and Clarkson University for their
  109. assistance.
  110. ---------------------------------------------------------------------------
  111.  
  112. If you believe that your system has been compromised, contact CERT/CC via
  113. telephone or e-mail.
  114.  
  115. Computer Emergency Response Team/Coordination Center (CERT/CC)
  116. Software Engineering Institute
  117. Carnegie Mellon University
  118. Pittsburgh, PA 15213-3890
  119.  
  120. Internet E-mail: cert@cert.sei.cmu.edu
  121. Telephone: 412-268-7090 24-hour hotline:
  122.            CERT/CC personnel answer 7:30a.m.-6:00p.m. EDT,
  123.            on call for emergencies during other hours.
  124.  
  125. Past advisories and other computer security related information are available
  126. for anonymous ftp from the cert.sei.cmu.edu (192.88.209.5) system.
  127.  
  128.  
  129.