home *** CD-ROM | disk | FTP | other *** search
/ The Hacker's Encyclopedia 1998 / hackers_encyclopedia.iso / zines / a_m / ciac.b2 < prev    next >
Encoding:
Text File  |  2003-06-11  |  4.9 KB  |  213 lines
  1.         _____________________________________________________
  2.  
  3.               The Computer Incident Advisory Capability
  4.  
  5.                          ___  __ __    _     ___
  6.  
  7.                         /       |     / \   /
  8.  
  9.                         \___  __|__  /___\  \___
  10.  
  11.         _____________________________________________________
  12.  
  13.                         Informational Bulletin
  14.  
  15.  
  16.  
  17.             UNIX Security Problem with Silicon Graphics Mail 
  18.  
  19.  
  20.  
  21. October 12, 1990, 0800 PST                                  Number B-2   
  22.  
  23.  
  24.  
  25. CIAC has been learned of a security problem with the Berkeley Mailer
  26.  
  27. supplied by Silicon Graphics. The program /usr/sbin/Mail on IRIX 3.3
  28.  
  29. and later releases sets the setgid bit.  This allows users to read any
  30.  
  31. mail on the system, including mail to root.
  32.  
  33.  
  34.  
  35. To determine if your system has this problem you should execute: 
  36.  
  37.  
  38.  
  39.     ls -l /usr/sbin/Mail  
  40.  
  41.  
  42.  
  43. A line similar to the following should be displayed:
  44.  
  45.  
  46.  
  47.     -rwxr-sr-x   1 bin      mail      172080 Jun  7  15:05 /usr/sbin/Mail
  48.  
  49.  
  50.  
  51. Look at the permission bits.  If you see, "-rwxr-sr-x"  then the
  52.  
  53. problem exists on your system.
  54.  
  55.  
  56.  
  57. There are several potential solutions for this problem.   
  58.  
  59.  
  60.  
  61. Alternative 1 - Workaround
  62.  
  63.  
  64.  
  65.     Execute the following command as root:
  66.  
  67.  
  68.  
  69.       chmod 755 /usr/sbin/Mail
  70.  
  71.  
  72.  
  73.     Then after doing a ls -l you should see:
  74.  
  75.         
  76.  
  77.       -rwxr-xr-x   1 bin      mail      172080 Jun  7  15:05 /usr/sbin/Mail
  78.  
  79.  
  80.  
  81. This workaround has one known side effect.  The Mail program can no
  82.  
  83. longer remove the user's mail file from /usr/mail when all messages
  84.  
  85. have been deleted.  Instead, it leaves a zero length file.
  86.  
  87.  
  88.  
  89. If you choose this solution, please be aware that the fixed binary will
  90.  
  91. be available in the next release of IRIX (3.3.2, currently scheduled
  92.  
  93. for November, 1990).
  94.  
  95.  
  96.  
  97. Alternative 2 - Obtain and install the fixed binary
  98.  
  99.  
  100.  
  101. A better solution is to download the fixed binary from sgi.com.
  102.  
  103. Silicon Graphics has made a new executable available to fix this
  104.  
  105. problem.  It is available for anonymous ftp from sgi.com, or from your
  106.  
  107. local Silicon Graphics sales representative.  Contact the SGI hotline
  108.  
  109. for more information. (The bug number is alpha bug AF19315).
  110.  
  111.  
  112.  
  113. If you are not certain how to ftp to sgi.com and properly install the
  114.  
  115. binary, use the following commands:
  116.  
  117.  
  118.  
  119.         cd /usr/sbin                            - The directory that
  120.  
  121.                                                   Mail is in
  122.  
  123.         chmod 755 /usr/sbin/Mail                - Remove the setgid bit
  124.  
  125.         mv /usr/sbin/Mail /usr/sbin/Mail.org    - Rename Mail
  126.  
  127.         ftp 192.48.153.1                        - ftp to sgi.com and
  128.  
  129.                                                   get the new binary,
  130.  
  131.         name: anonymous                         - login as anonymous
  132.  
  133.         password: guest                         - password guest
  134.  
  135.         ftp> bin                                - Set binary mode
  136.  
  137.         ftp> cd sgi/Mail                        - The Mail directory
  138.  
  139.         ftp> get Mail                           - Get the new binary
  140.  
  141.         ftp> quit                               - quit ftp
  142.  
  143.         chmod 2755 Mail                         - Make sure
  144.  
  145.                                                   permissions are correct
  146.  
  147.         chgrp mail Mail                         - Make sure group is
  148.  
  149.                                                   correct 
  150.  
  151.         chown bin Mail                          - Make sure owner is
  152.  
  153.                                                   correct 
  154.  
  155.  
  156.  
  157. For additional information or assistance, please contact CIAC 
  158.  
  159.  
  160.  
  161.         David Brown
  162.  
  163.         (415) 423-9878 or (FTS) 543-9878
  164.  
  165.  
  166.  
  167.         FAX:  (415) 423-0913 or (FTS) 543-0913 
  168.  
  169.  
  170.  
  171. or send e-mail to:
  172.  
  173.  
  174.  
  175.         ciac@tiger.llnl.gov
  176.  
  177.  
  178.  
  179. The assistance of Kevin E. Leininger and Matt Wicks of Fermi National
  180.  
  181. Accelerator Laboratory and Chuck Athey and Ross Guant of Lawrence
  182.  
  183. Livermore National Laboratory is gratefully acknowledged.  Neither the
  184.  
  185. United States Government nor the University of California nor any of
  186.  
  187. their employees, makes any warranty,  expressed or implied, or assumes
  188.  
  189. any legal liability or responsibility for the accuracy, completeness,
  190.  
  191. or usefulness of any information, product, or process disclosed, or
  192.  
  193. represents that its use would not infringe privately owned rights.
  194.  
  195. Reference herein to any specific commercial products, process, or
  196.  
  197. service by trade name, trademark manufacturer, or otherwise, does not
  198.  
  199. necessarily constitute or imply its endorsement, recommendation, or
  200.  
  201. favoring by the United States Government or the University of
  202.  
  203. California.  The views and opinions of authors expressed herein do not
  204.  
  205. necessarily state or reflect those of the United States Government nor
  206.  
  207. the University of California, and shall not be used for advertising or
  208.  
  209. product endorsement purposes.
  210.  
  211.  
  212.  
  213.