Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-626

[Generic/login] Ernste Schwachstelle in der Login-Prozedur verschiedener Unix-Systeme (Patchinformation aktualisiert)
(2001-12-13 13:47:04+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2001/12/msg00124.html

Der Code des System V-Programmes login enthält einen buffer overflow bug, der über eine Netzwerkverbindung dazu ausgenutzt werden kann, das beherbergende System zu kompromittieren.

Betroffene Systeme
Unix-Systeme, die eine auf dem Code des System V basierende login-Implementierung besitzen:

Nicht betroffene Systeme
Unix-Systeme, deren login-Implementierung nicht auf dem Code der Implementierung des System V basieren:

Einfallstor
Dienste, die login verwenden, wie z.B. Telnet und rlogin (eventuell auch SSH bei Verwendung von UseLogin).

Auswirkung
Kompromittierung des beherbergenden Systems über eine Netzwerkverbindung
(remote root compromise)

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Unter System V und Derivaten akzeptiert das Programm login neben dem Benutzernamen weitere Argumente, wie z.B. Umgebungsvariablen, die vor dem Aufruf der Login-Shell gesetzt werden. Die Überprüfung der Anzahl der übergebenen Argumente wird in der login-Implementierung des System V sowie einer Anzahl davon abgeleiteter Implemetierungen nicht korrekt durchgeführt, was bei entsprechender Anzahl zu einem Überlauf des Feldes führt. Ein Angreifer kann diesen Umstand dazu ausnutzen, beliebigen Programmcode mit den Rechten des aufrufenden Prozesses auszuführen.

Kontext
Auf den meisten Systemen besitzt login kein SUID=root-Bit, so daß login mit den Privilegien des aufrufenden Prozesses ausgeführt wird.

Allerdings wird login standardmäßig von Prozessen wie telnetd und rlogind, die mit root-Privilegien ausgeführt werden, aufgerufen. Da diese beiden Prozesse unauthentifizierte Verbindungen von außen akzeptieren, kann die Schwachstelle in login von einem Angreifer über eine Netzwerkverbindung dazu ausgenutzt werden, das beherbergende System zu kompromittieren.

Hinweis: Verschiedene SSH-Implementierungen verwenden bei entsprechender Konfiguration ebenfalls das login-Programm. Dadurch können hier ebenfalls Probleme auftreten.

Exploit Code
Nach Angaben von CERT/CC existiert bereits ein Programm (exploit code), um die Schwachstelle auszunutzen, der möglicherweise auch schon im Netz kursiert.

Workaround

Gegenmaßnahmen
Installation der entsprechenden Hersteller-Patches:

Vulnerability ID

(og)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=626