[stalk:00502] [FYI]SGI-pmpost にsymlinkの脆弱性

[Shikap <shikap@xxxxxxxxxxxx>]

しかＰ＠久々のポスト、です。
＃すんません、レスポンス激遅状態になりつつあります。
＃ううう、時間が欲しい・・・・

さて。

SGIにインストールされている、pmpostというコマンドにsymlink攻撃を
受ける弱点が公開されています。
http://www.securityfocus.com/archive/1/191831

＃上記の記事は、攻撃用コンセプトコードになっており、/etc/passwdに
＃任意のユーザをuid=0で登録するものになっています。
＃ちょっと修正を加えることでうまく動く、と言うことです（私は未確認）。
＃＃どうみてもSuSE Linux用のコードですしねぇ。
＃＃SuSEはデフォルトではインストールされないものの、ディストリビュート
＃＃しているとのことです。7.1と7.2が該当するそうです。

pmpostは、pcp（<= 2.1.11-5）と呼ばれるプロダクトの構成ファイルとなって
おり、このファイルがsetuidされており、かつコマンドファイルの内に
PCP_LOG_DIRというstringがある場合に弱点を持つようです。
＃中には上記stringがないバージョンもあるという話もあります。
どうやら安直なテンポラリファイルを作るようで、そこを狙ってsymlinkを
作ってやることで任意のファイルに追加書き込みを行うことが可能なようです。
・・・多分（苦笑）

とりあえずの対処としてはsetuidビットを落とすこと。（公式発表）
または、
http://oss.sgi.com/projects/pcp/download
から最新バージョンを落としてアップデートすること、だそうです。
（SGIのengineeringグループからのポストですのでほぼ公式発表）

以上、SGIユーザ（とSuSE Linuxユーザ）へのFYI、でした。

-- 
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
　　鹿田　幸治　　　　　　　Koji.Shikata
　　　E-Mail:shikap@xxxxxxxxxxxx
snortパッチ公開中：http://www.yk.rim.or.jp/‾shikap/patch/
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝


--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　 インフォシーク株価に新機能登場！！【銘柄条件検索】ってなにもの？？　
  http://stock.infoseek.co.jp/Stock?pg=stock_top.html&sv=ST&svx=971122