home *** CD-ROM | disk | FTP | other *** search
/ The Hacker's Encyclopedia 1998 / hackers_encyclopedia.iso / zines / a_m / ciac.b4 < prev    next >
Encoding:
Text File  |  2003-06-11  |  5.3 KB  |  237 lines
  1. ========================================================================
  2.  
  3. ||            THE COMPUTER INCIDENT ADVISORY CAPABILITY               ||
  4.  
  5. ||                                                                    ||        
  6.  
  7. ||                             C I A C                                ||
  8.  
  9. ||                                                                    ||
  10.  
  11. ||                        INFORMATION NOTICE                          ||
  12.  
  13. ========================================================================
  14.  
  15.                                    
  16.  
  17.             VMS Security Problem with ANALYZE/PROCESS_DUMP
  18.  
  19.             ----------------------------------------------
  20.  
  21.  
  22.  
  23. October 22, 1990, 1200 PST                                      Number B-4
  24.  
  25.  
  26.  
  27. Summary::  Critical VMS Security Problem Facts 
  28.  
  29. ----------------------------------------------------------------------------
  30.  
  31. PROBLEM:        VMS security problem with the ANALYZE/PROCESS_DUMP command 
  32.  
  33. PLATFORM:       DEC VMS systems (all versions 4.0 to 5.3 including MicroVMS)
  34.  
  35. DAMAGE:         Allows system privileges to non-privileged users
  36.  
  37.                 (including the user decnet on older VMS systems)
  38.  
  39. WORKAROUND:     Disable ANALYZE/PROCESS_DUMP for non-privileged users
  40.  
  41. PATCH:          Not currently available, but DEC is aware of the problem
  42.  
  43. SYSTEM IMPACT:  The workaround will disallow the use of analyze/process_dump 
  44.  
  45.                 for non-privileged users.  Other program debuggers are
  46.  
  47.                 unaffected
  48.  
  49. ----------------------------------------------------------------------------
  50.  
  51.  
  52.  
  53. CIAC has learned of a serious security problem on Digital Equipment
  54.  
  55. Corp. (DEC) VMS systems.  The potential damage of this problem is that
  56.  
  57. users may gain unauthorized system privileges through the use of the
  58.  
  59. ANALYZE/PROCESS_DUMP dcl command.  In addition, systems that have set
  60.  
  61. up the FAL and default DECNET account to use the same directory have a
  62.  
  63. potential to allow system access to other VMS machines connected to
  64.  
  65. the network.
  66.  
  67.  
  68.  
  69. DEC is currently working on a permanent solution to this problem.  As
  70.  
  71. a interim measure, DEC recommends that this command be disabled for
  72.  
  73. all non-privileged users.  This may be accomplished using the
  74.  
  75. following procedure:
  76.  
  77.  
  78.  
  79. 1.      Log into the system account.
  80.  
  81.  
  82.  
  83. 2.      $ SET PROC/PRIV=ALL
  84.  
  85.  
  86.  
  87. 3.      a) For VMS systems prior to V5.0,
  88.  
  89.  
  90.  
  91.         Modify SYS$MANAGER:SYSTARTUP.COM to include the following
  92.  
  93.         lines as the first two lines in the file:
  94.  
  95.  
  96.  
  97.                 $ SET NOON
  98.  
  99.                 $ MCR INSTALL ANALIMDMP.EXE/DELETE
  100.  
  101.  
  102.  
  103.         b) For VMS system V5.0 and later,
  104.  
  105.  
  106.  
  107.         Modify SYS$MANAGER:SYSTARTUP_V5.COM to include the following
  108.  
  109.         as the first two lines of the file:
  110.  
  111.  
  112.  
  113.                 $SET NOON
  114.  
  115.                 $ MCR INSTALL ANALIMDMP.EXE/DELETE
  116.  
  117.  
  118.  
  119.         c) For MicroVMS systems,
  120.  
  121.  
  122.  
  123.         The image ANALIMDMP.EXE is not installed by default, but
  124.  
  125.         SYSTARTUP.COM contains a suggestion of installing the image if
  126.  
  127.         you have multiple users on your system.  You mus ensure that
  128.  
  129.         this image is not installed in SYSTARTUP.COM.  You can use the
  130.  
  131.         following command to verify that the image is not installed:
  132.  
  133.  
  134.  
  135.         $MCR INSTALL ANALIMDMP/LIST
  136.  
  137.  
  138.  
  139.         If you receive the message similar to the following:
  140.  
  141.  
  142.  
  143.         %INSTALL-W-FAIL, failed to LIST entry for ANALIMDMP.EXE
  144.  
  145.  
  146.  
  147.         then you do not have the image installed.  Otherwise, proceed
  148.  
  149.         as step 3.a above.
  150.  
  151.  
  152.  
  153. 4.      $ MCR INSTALL ANALIMDMP/DELETE
  154.  
  155.  
  156.  
  157.         This command removes the installed image from the active system.
  158.  
  159.  
  160.  
  161. 5.      (Optional) Restart your systems and verify that the image is
  162.  
  163.         not installed using the following command:
  164.  
  165.  
  166.  
  167.         $MCR INSTALL ANALIMDMP/LIST
  168.  
  169.  
  170.  
  171.         If you receive the message similar to the following:
  172.  
  173.  
  174.  
  175.         %INSTALL-W-FAIL, failed to LIST entry for ANALIMDMP.EXE
  176.  
  177.         -INSTALL-E-NOKFEFND, Known File Entry not found
  178.  
  179.  
  180.  
  181.         then you do not have the image installed and your system does
  182.  
  183.         not have the security problem.
  184.  
  185.  
  186.  
  187. For additional information or assistance, please contact CIAC   
  188.  
  189.  
  190.  
  191.         Thomas A. Longstaff
  192.  
  193.         (415) 423-4416 or (FTS) 543-4416
  194.  
  195.  
  196.  
  197.         FAX:  (415) 423-0913 or (FTS) 543-0913 
  198.  
  199.  
  200.  
  201. or send e-mail to:
  202.  
  203.  
  204.  
  205.         ciac@tiger.llnl.gov
  206.  
  207.  
  208.  
  209. Neither the United States Government nor the University of California
  210.  
  211. nor any of their employees, makes any warranty, expressed or implied,
  212.  
  213. or assumes any legal liability or responsibility for the accuracy,
  214.  
  215. completeness, or usefulness of any information, product, or process
  216.  
  217. disclosed, or represents that its use would not infringe privately
  218.  
  219. owned rights.  Reference herein to any specific commercial products,
  220.  
  221. process, or service by trade name, trademark manufacturer, or
  222.  
  223. otherwise, does not necessarily constitute or imply its endorsement,
  224.  
  225. recommendation, or favoring by the United States Government or the
  226.  
  227. University of California.  The views and opinions of authors expressed
  228.  
  229. herein do not necessarily state or reflect those of the United States
  230.  
  231. Government nor the University of California, and shall not be used for
  232.  
  233. advertising or product endorsement purposes.
  234.  
  235.  
  236.  
  237.