home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / process_tbl_attcks.txt < prev    next >
Encoding:
Text File  |  1999-03-24  |  4.5 KB  |  80 lines
  1. --------------------------------------------------------------
  2. This story was printed from ZDNN,
  3. located at http://www.zdnet.com/zdnn.
  4. --------------------------------------------------------------
  5.  
  6. Major Unix flaw emerges
  7. By Randy Barrett, Inter@ctive Week Online
  8. March 1, 1999 9:30 AM PT
  9. URL: http://www.zdnet.com/zdnn/stories/news/0,4586,2217922,00.html
  10.  
  11. A newly discovered Unix design flaw threatens thousands of computers that operate on the Internet. 
  12.  
  13. The vulnerability opens Unix-based servers to a new kind of denial-of-service attack that overloads the servers'
  14. ability to answer incoming queries, according to security expert and Internet service provider (ISP) owner Simson
  15. Garfinkel. Garfinkel's ISP, Vineyard.Net, experienced such an attack in early 1998, but Garfinkel soon realized the
  16. situation was an accident caused by a subscriber's faulty software. 
  17.  
  18. "The buggy software would finger our computer every minute, but it never hung up," Garfinkel said. By not terminating
  19. the connection, the program quickly loaded up his Unix server's "process tables" and brought the ISP to a standstill
  20. for two hours. 
  21.  
  22. "We didn't go looking for this. It hit us. It's not theoretical," Garfinkel said. 
  23.  
  24. The attack entails sending repeated open-connection requests to a Unix server. Subprograms - like Internet
  25. Daemon, Secure Shell Daemon and Internet Message Access Protocol Daemon - are written to automatically answer
  26. the connection and carry out requests. But if the connection is initiated with no request, most Daemons keep the line
  27. open, using resources from the server's process table, which can handle between 600 and 1,500 simultaneous tasks.
  28. Repeated connections eventually overload the process table and crash the server. 
  29.  
  30. Garfinkel publicly outlined the vulnerability - which affects nearly all Unix-based platforms, including Irix, Linux and
  31. Solaris - on a security newsgroup Feb. 19. This was after his repeated attempts to notify programmers at Berkeley
  32. Software Design Inc., Hewlett-Packard, Silicon Graphics Inc. and Sun Microsystems of the problem last year. None
  33. of the vendors gave it any notice, Garfinkel said. 
  34.  
  35. "It wasn't new enough to immediately gain attention. It's a design flaw, not a bug," said Gene Spafford, professor of
  36. computer science at Purdue University. 
  37.  
  38. Sabotage can come from outside
  39. Process table attacks are old news to Unix programmers, but Garfinkel discovered that the assault can come from the
  40. outside. Previously, developers only thought such sabotage could come from someone with internal access. 
  41.  
  42. AT&T Fellow Steven Bellovin said the vulnerability is real. "If I were running a popular server, I would at least try to
  43. add some resource limitation." 
  44.  
  45. Garfinkel said the servers most open to attack are those used for electronic mail, file serving and Web hosting.
  46. Protecting against it is relatively easy: Daemon programs can be rewritten to limit incoming connections or drop them
  47. after 30 seconds. 
  48.  
  49. "They need to have a governor installed," Garfinkel said. 
  50.  
  51. BSDI Director of Product Marketing Douglas Urner said the process table threat is hardly catastrophic. "In theory,
  52. there is a vulnerability here, which is like saying the gas in your car might explode." 
  53.  
  54. BSDI software safe
  55. Urner said the flaw probably wouldn't affect most BSDI software, because of existing safeguards. 
  56.  
  57. SGI Principal Engineer Bill Earl said the threat exists but isn't a big deal, because the Daemons can be easily
  58. configured to limit incoming connections. 
  59.  
  60. Red Hat Software spokeswoman Melissa London wasn't familiar with the process table problem, but she said holes
  61. in Linux usually are solved quickly on public open source bulletin boards. "If there is any breach, we'll work to fix it,"
  62. she said. 
  63.  
  64. A perceived lack of responsible vendor action to patch the problem is partly what spurred Garfinkel to make the attack
  65. known. 
  66.  
  67. "They don't do anything unless its publicly exposed," he said. "I can shut down any one of their servers on the Net." 
  68.  
  69. Hard to stay hidden
  70. But if he did, Garfinkel wouldn't be able to easily cloak his identity. Because the onslaught can take up to 10 hours to
  71. complete, Unix experts and vendors agree that maintaining stealth is nearly impossible. 
  72.  
  73. "It's an attack you're unlikely to see people get away with," Urner said. 
  74.  
  75. That fact doesn't assuage the fears of many Unix experts who take the vulnerability seriously as yet another sign that
  76. the Internet isn't robust enough to handle 21st century threats. 
  77.  
  78. "The real deeper problem is that the whole infrastructure is pretty rotten," said Peter G. Neumann, principal scientist
  79. at the Computer Science Lab at SRI International.
  80.