Security flaw in rssh

[SEKINE Tatsuo <tsekine@xxxxxxxxxx>]

関根@SDRI と申します。

Derek Martin 氏より翻訳の許可を得ましたので、
Bugtraq 本家に出したメールを翻訳してこちらに投稿します。

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

rssh は、ユーザが scp と sftp のみしか使用できないように制限
するのを目的とした小さな shell で、また、ユーザを chroot
jail に入れる機能を提供する。またシステムからユーザーを完全
に締め出すのにも使用できる。William F. McCaw は rssh を 
chroot jail で使用した場合に、軽微な安全性の欠陥があることを
発見した。

rssh 2.0 〜 2.1.x には、ユーザが chroot jail 外の(意図しない) 
情報を得られるというバグが存在する。rssh の最新のリリースで
はこの問題が修正され、また opennssh 以外の sftp クライアント
に対するサポートが改善されている。さらに、cvs・rsync・rdist 
を許すように拡張されている。

Mr. McCaw によって発見された問題の原因は、rssh が chroot
jail に入る前に引数を展開してしまうことにある。このバグによっ
てユーザが jail の外側のファイルにアクセスできてしまうことは
*ない*が、ある jail 外のディレクトリに対して読み取り/実行権
限がある場合に、そのディレクトリにどんなファイルがあるかを知
られてしまう。

(William のバグ報告にある)例として、rssh を使った jail
に制限されているサーバ上にアカウントがある場合、ユーザは
次のコマンドを使うことで /etc 以下のディレクトリにどんな
ファイルがあるかを知ることができる:

  scp target:/etc/* .

このコマンドの結果は、以下のようになる:

  scp: /etc/DIR_COLORS: No such file or directory
  scp: /etc/HOSTNAME: No such file or directory
  scp: /etc/X11: No such file or directory
  scp: /etc/adjtime: No such file or directory
  [ ... ]
  ld.so.cache                                  100%  675     0.0KB/s 00:00
  ld.so.conf                                   100%    0     0.0KB/s 00:00
  [ ... ]
  passwd                                       100%   51     0.0KB/s 00:00
  [ ... ]
  scp: /etc/termcap-Linux: No such file or directory
  scp: /etc/updatedb.conf: No such file or directory
  scp: /etc/warnquota.conf-sample: No such file or directory
  scp: /etc/xml: No such file or directory

コピーに成功したファイルは chroot jail 内にあり、よってこれ
らは無害であるはずだ。エラーメッセージを出しているすべてのファ
イルは、システムの /etc/ ディレクトリにはあるが、chroot jail 
内には存在しない。これらのファイルへのアクセスが試みられる前
にユーザーは jail 内に移動されるので、もう一度言うが、それら
のファイルにアクセスすることはできない。多くのサイトにとって、
これは深刻な問題ではない。しかしながら、chroot jail の外側に
どんなファイルがあるかを知られないことが重要であるようなサイ
トでは、ただちにアップグレードすべきである。

rssh リリース 2.2.0 は、ここで論じた問題については修正されて
いるが、ユーザごとのオプショを解析するコードの一部が欠けた状
態で誤ってリリースされた。リリース 2.2.1 はこの問題の修正で
あり、また rssh の最後のリリースになるはずだ。これ以上の開発
をする計画はない。

rssh の最新リリースは以下から取得できる:

  http://www.pizzashack.org/rssh/

rssh を使ってくれてありがとう!

- -- 
Derek D. Martin
http://www.pizzashack.org/
GPG Key ID: 0x81CFE75D
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)

iD8DBQFA2u5Bwmya1yTbofwRAh1FAJ0YRuWpz7QTexWElaew6GoCKuwCOgCggxuT
7z29U2XgTZFi5yUDy4dCFac=
=MUk1
-----END PGP SIGNATURE-----

-- 
SEKINE Tatsuo:
 tsekine@xxxxxxxxxx    System Design & Research Inst. Co.,Ltd.
 tsekine@xxxxxxxx      Yokohama Linux Users Group