home *** CD-ROM | disk | FTP | other *** search
/ The Hacker's Encyclopedia 1998 / hackers_encyclopedia.iso / hacking / general / cert0124.txt < prev    next >
Encoding:
Text File  |  2003-06-11  |  13.6 KB  |  355 lines
  1.  
  2. -----BEGIN PGP SIGNED MESSAGE-----
  3.  
  4. =============================================================================
  5. CERT(sm) Advisory CA-96.19
  6. Original issue date: August 15, 1996
  7. Last revised: December 20, 1996
  8.               Appendix A, HP - revised information from vendor has been
  9.               included.          
  10.  
  11.               A complete revision history is at the end of this file.
  12.  
  13. Topic: Vulnerability in expreserve
  14. - -----------------------------------------------------------------------------
  15.  
  16.             *** This advisory supersedes CA-93:09 and CA-93:09a. ***
  17.  
  18. The CERT Coordination Center has received reports of a vulnerability in
  19. expreserve. Though this is not a new vulnerability, it is one that is widely
  20. known and that many users have not yet patched. The CERT/CC team recommends
  21. that you patch your system as soon as possible, as exploitation scripts are
  22. publicly available. Appendix A contains the information we have received from
  23. vendors. Until you can install a patch, you should apply the workaround in
  24. Section III below.
  25.  
  26. We will update this advisory as we receive additional information.
  27. Please check advisory files regularly for updates that relate to your site.
  28.  
  29. - -----------------------------------------------------------------------------
  30.  
  31. I.   Description
  32.  
  33.      Expreserve is a utility that preserves the state of a file being edited
  34.      by vi(1) or ex(1) when an edit session terminates abnormally or when the
  35.      system crashes. Expreserve has a vulnerability that allows users to
  36.      overwrite any file on the system. Exploitation scripts are publicly
  37.      available.
  38.  
  39. II.  Impact
  40.  
  41.      By exploiting this vulnerability, users with access to an account on the
  42.      system can readily gain root privileges.
  43.  
  44.  
  45. III. Solution
  46.  
  47.      A.  Apply a patch or workaround provided by your vendor.
  48.          Below is a summary list of the vendors who have provided information,
  49.          which we have placed in Appendix A of this advisory. If your vendor's
  50.          name is not on this list, please contact the vendor directly.
  51.  
  52.             Berkeley Software Design, Inc.
  53.             Cray Research
  54.             Data General Corporation
  55.             Digital Equipment Corporation
  56.             Hewlett-Packard Company
  57.             IBM Corporation
  58.             NeXT Software, Inc.
  59.             Open Software Foundation
  60.             The Santa Cruz Operation, Inc.
  61.             Sun Microsystems, Inc.
  62.  
  63.      B.  Until you are able to apply a patch or workaround, we recommend
  64.          that you remove the execute permissions on the existing
  65.          /usr/lib/expreserve program.  Do this as root:
  66.  
  67.          % /usr/bin/chmod  a-x  /usr/lib/expreserve
  68.  
  69.          This workaround disables expreserve functionality. The result of this
  70.          workaround is that if vi(1) or ex(1) is running, and the sessions are
  71.          interrupted, the files being edited will not be preserved and all
  72.          edits not explicitly saved by the users will be lost. Encourage users
  73.          to save their files often.
  74.  
  75. .........................................................................
  76.  
  77. Appendix A: Vendor Information
  78.  
  79. Below is information we have received from vendors concerning the
  80. vulnerability described in this advisory. If you do not see your vendor's
  81. name, please contact the vendor directly for information.
  82.  
  83.  
  84. Berkeley Software Design, Inc.
  85. ==============================
  86.         BSD/OS is not vulnerable to this problem.  We ship the
  87.         current Keith Bostic nvi which does not use the old expreserve
  88.         scheme to save files (it uses the 4.4BSD-style 1777 tmp
  89.         directories to store user tmp files in /var/tmp owned by
  90.         the user and therefore doesn't require a setuid scheme to
  91.         recover them).
  92.  
  93. Cray Research
  94. =============
  95.         We have fixed this problem at Cray Research in Unicos version 7.0.
  96.  
  97. Data General Corporation
  98. ========================
  99.         The binary /usr/lib/expreserve is not a setuid program on DG/UX,
  100.         any flavor.  We are not, therefore, vulnerable to the exploitation
  101.         described.  Nevertheless, the suggested change has been made and
  102.         will be included in subsequent releases of DG/UX.
  103.  
  104. Digital Equipment Corporation
  105. =============================
  106.         This reported problem is not present for Digital's ULTRIX or
  107.         Digital UNIX Operating Systems Software.
  108.  
  109.         Source:
  110.                 Digital Equipment Corporation
  111.                 Software Security Response Team
  112.                 Copyright (c) Digital Equipment Corporation 1996.
  113.                 All rights reserved.
  114.  
  115.         8/13/96 - DIGITAL EQUIPMENT CORPORATION
  116.  
  117. Hewlett-Packard Company
  118. =======================
  119.  
  120.   PROBLEM:  **REVISED 01**  Vulnerability in /usr/lib/expreserve in HP-UX
  121.             9.X and 10.X
  122.   PLATFORM: HP 9000 series 300/400s and 700/800s
  123.   DAMAGE:   The default permissions of file expreserve(1) are in error,
  124.             thereby allowing users to potentially gain root privileges
  125.             on the host.
  126.   SOLUTION: Apply patch PHCO_6363 (series 700/800, HP-UX 9.x), or
  127.                         PHCO_7833 (series 300/400, HP-UX 9.x), or
  128.                         PHCO_8652 (series 700/800, HP-UX 10.0X), or
  129.                         PHCO_8653 (series 700/800, HP-UX 10.10), or
  130.                         PHCO_8654 (series 700/800, HP-UX 10.20).
  131.  
  132.    Perform the actions described below in releases of HP-UX prior
  133.           to 9.X.)
  134.  
  135.   AVAILABILITY:  All patches are available now.
  136.   CHANGE SUMMARY:  New patches available for releases of HP-UX 10.XX.
  137.  
  138. Update
  139.  
  140.    A. Additional patches for HP-UX have been released to address the
  141.    vulnerability originally appearing in the 18 July 1996 version of
  142.    the Hewlett-Packard bulletin.
  143.  
  144.    A private communication to HP described a vulnerability that allows
  145.    ordinary users to potentially gain super-user privileges.
  146.    The default permission for the file /usr/lib/expreserve (or on HP-UX
  147.    10.X /usr/lbin/expreserve) needs only minimal privileges.  If the
  148.    patches mentioned above are applied the vulnerability cannot be
  149.    exploited.
  150.  
  151.    In case no patches is available for your host HP-UX release, system
  152.    administrators are asked to perform the following action to achieve
  153.    the same result.
  154.  
  155. Fixing the problem
  156.  
  157.    The vulnerability can be eliminated from releases 9.X of HP-UX
  158.    by applying a patch.  Since some patches will not be made available
  159.    on some releases of HP-UX (e.g., prior to 9.X), affected systems can
  160.    be protected by system administrators.
  161.    They should:
  162.  
  163.               $ su root
  164.               # chmod 0555 /usr/lib/expreserve
  165.  
  166.    For HP-UX 10.X systems applying the patches specified above is now in
  167.    order.
  168.  
  169.    Hewlett-Packard recommends that all customers concerned with the
  170.    security of their HP-UX systems either apply the appropriate
  171.    patch or perform the actions described above as soon as possible.
  172.  
  173. How to Install the Patch
  174.  
  175.      1.  Determine which patch is appropriate for your hardware platform
  176.          and operating system:
  177.  
  178.                       PHCO_6363 (series 700/800, HP-UX 9.x), or
  179.                       PHCO_7833 (series 300/400, HP-UX 9.x),
  180.                       PHCO_8652 (series 700/800, HP-UX 10.0X), or
  181.                       PHCO_8653 (series 700/800, HP-UX 10.10), or
  182.                       PHCO_8654 (series 700/800, HP-UX 10.20).
  183.  
  184.      2.  Hewlett Packard's HP-UX patches are available via email
  185.          and World Wide Web
  186.  
  187.      To obtain a copy of the HP SupportLine email service user's
  188.          guide, send the following in the TEXT PORTION OF THE MESSAGE
  189.          to support@us.external.hp.com (no Subject is required):
  190.  
  191.                                send guide
  192.  
  193.          The users guide explains the HP-UX patch downloading process
  194.          via email and other services available.
  195.  
  196.          World Wide Web service for downloading of patches
  197.          is available via our URL:
  198.                   (http://us.external.hp.com)
  199.  
  200.  
  201.      3.  Apply the patch to your HP-UX system.
  202.  
  203.      4.  Examine /tmp/update.log (in 9.X) or /var/adm/sw/swinstall.log
  204.          (in 10.X), for any relevant WARNINGs or ERRORs.
  205.  
  206. Impact
  207.  
  208.     These patches for HP-UX releases 9.X and 10.X provide a proper
  209.     permissions /usr/lib/expreserve which fixes the vulnerability.  No
  210.     patches will be available for versions of HP-UX older than 9.X.
  211.     Instead, the workaround is described above.
  212.  
  213.  
  214. IBM Corporation
  215. ===============
  216.         AIX versions 3.2.5, 4.1, and 4.2 are not vulnerable to this
  217.         particular problem.
  218.  
  219.         IBM and AIX are registered trademarks of International Business
  220.         Machines Corporation.
  221.  
  222. NeXT Software, Inc.
  223. ===================
  224.         This problem was fixed in or before release 3.3 of NeXTstep.
  225.  
  226. Open Software Foundation
  227. ========================
  228.         OSF's OSF/1 R1.3 is not effected by this vulnerability.
  229.  
  230. The Santa Cruz Operation, Inc.
  231. ==============================
  232.         SCO Operating Systems are not vulnerable to this problem.
  233.  
  234. Silicon Graphics, Inc.
  235. ======================
  236. The Silicon Graphics implementation of expreserv is setgid sys and
  237. not setuid root as reported in the CERT(sm) advisory.   As such this
  238. redefines the exposure to a setgid sys issue.  Exploit would have to
  239. occur on group sys writable files, however, on a default configured
  240. IRIX system there are no system critical files that are group sys
  241. writable and therefore exposure and exploit does not exist.
  242.  
  243. Silicon Graphics will not be releasing a patch for this issue,
  244. however, the issue will be corrected in future releases of IRIX.
  245.  
  246. If desired, the setgid permission of the expreserv could be removed
  247. however, this will disable the recovery functions of the vi(1) and
  248. ex(1) editors.   This functionality could be fixed by manually
  249. creating directories for each user in /var/preserve directory.
  250.  
  251. Sun Microsystems, Inc.
  252. ======================
  253. System          Patch ID    Filename           MD5 Checksum
  254. - ------          --------    ---------------    -----------
  255. SunOS 4.1.1     101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  256. SunOS 4.1.2     101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  257. SunOS 4.1.3     101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  258. SunOS 4.1.3C    101080-01   101080-01.tar.Z    53c8a5c4eee770924560c5fc100542a3
  259. SunOS 4.1.3_U1  101579-01   101579-01.tar.Z    327b89942b02c4cb15bb80bf61b2df94
  260. SunOS 4.1.4     Not vulnerable
  261.  
  262. Solaris 2.0     101119-01   101119-01.tar.Z    No longer available
  263. Solaris 2.1     101089-01   101089-01.tar.Z    No longer available
  264. Solaris 2.2     101090-01   101090-01.tar.Z    e9ff98823abbc75d95410a0cb7856644
  265. Solaris 2.3     Vulnerable; no patch made
  266. Solaris 2.4     102756-01   102756-01.tar.Z    61f4a48ddba41ae1c27e70b84f4c8d87
  267. Solaris 2.4_x86 102757-01   102757-01.tar.Z    1f2b7f3824565ef849eb3c4677567399
  268. Solaris 2.5     Not vulnerable
  269. Solaris 2.5.1   Not vulnerable
  270.  
  271.  
  272. - ---------------------------------------------------------------------------
  273. The CERT Coordination Center thanks all the vendors who provided input
  274. for this advisory.
  275. - ---------------------------------------------------------------------------
  276.  
  277. If you believe that your system has been compromised, contact the CERT
  278. Coordination Center or your representative in the Forum of Incident
  279. Response and Security Teams (FIRST).
  280.  
  281. We strongly urge you to encrypt any sensitive information you send by email.
  282. The CERT Coordination Center can support a shared DES key and PGP. Contact
  283. the CERT staff for more information.
  284.  
  285. Location of CERT PGP key
  286.          ftp://info.cert.org/pub/CERT_PGP.key
  287.  
  288. CERT Contact Information
  289. - ------------------------
  290. Email    cert@cert.org
  291.  
  292. Phone    +1 412-268-7090 (24-hour hotline)
  293.                 CERT personnel answer 8:30-5:00 p.m. EST
  294.                 (GMT-5)/EDT(GMT-4), and are on call for
  295.                 emergencies during other hours.
  296.  
  297. Fax      +1 412-268-6989
  298.  
  299. Postal address
  300.         CERT Coordination Center
  301.         Software Engineering Institute
  302.         Carnegie Mellon University
  303.         Pittsburgh PA 15213-3890
  304.         USA
  305.  
  306. CERT publications, information about FIRST representatives, and other
  307. security-related information are available for anonymous FTP from
  308.         http://www.cert.org/
  309.         ftp://info.cert.org/pub/
  310.  
  311. CERT advisories and bulletins are also posted on the USENET newsgroup
  312.         comp.security.announce
  313.  
  314. To be added to our mailing list for CERT advisories and bulletins, send your
  315. email address to
  316.         cert-advisory-request@cert.org
  317.  
  318.  
  319. Copyright 1996 Carnegie Mellon University
  320. This material may be reproduced and distributed without permission provided
  321. it is used for noncommercial purposes and the copyright statement is
  322. included.
  323.  
  324. CERT is a service mark of Carnegie Mellon University.
  325.  
  326. This file: ftp://info.cert.org/pub/cert_advisories/CA-96.19.expreserve
  327.            http://www.cert.org
  328.                click on "CERT Advisories"
  329.  
  330.  
  331. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  332. Revision history
  333.  
  334. Dec. 20, 1996  Appendix A, HP - revised information from vendor has been
  335.            included.
  336. Aug. 30, 1996  Information previously in the README was inserted into the
  337.                advisory.
  338. Aug. 28, 1996  Appendix A, SGI - added an entry for this vendor.
  339. Aug. 21, 1996  Appendix A, Sun - added more patch information.
  340.  
  341.  
  342.  
  343.  
  344.  
  345. -----BEGIN PGP SIGNATURE-----
  346. Version: 2.6.2
  347.  
  348. iQCVAwUBMrqlCnVP+x0t4w7BAQEyZQQAps9QDVFvnip8A+VxWuBVQkdUYbDAzrLM
  349. B9l4W2FSXssrJRVewzZafVEB3/lxLDv7dxwuFTNdlGt+sObAjbQTbaAGg8rtzFuc
  350. qy3+uQMLh5oWBR+8UzaB+94VvKBxOzt/rvAdG/8uvAGc+7wHKxMU91ItJGPl0EnV
  351. vZmqP7RTgNo=
  352. =6reG
  353. -----END PGP SIGNATURE-----
  354.  
  355.