AERAsec - Network Security - Aktuelle Meldungen September 1999

September 1999, letzte Ergänzung: 04. Januar 2000

Die meisten Links führen direkt auf die entsprechende Datei beim meldenden CERT bzw. andere Organisation. Die ständige Aktualität (speziell welche Gegenmaßnahmen zu ergreifen oder welche Patches zu installieren sind) ist damit sichergestellt.
Die meisten nachgeladenen Texte sind auf englisch.
Übrigens: Wenn für Systeme Risiken veröffentlicht werden, heißt dieses nicht, daß die Systeme, für die keine Risiken veröffentlicht werden automatisch sicherer sind!

System:	Debian Linux
Topic:	Sicherheitslücken in cron und INN: Debian0830, Debian0907

Cron verschickt Mails an Root ohne die an sendmail übergebenen Parameter zu überprüfen. Dieses kann dazu führen, daß Benutzer Root-Rechte erhalten. Ein Pufferüberlauf im INN kann dazu führen, daß Benutzer die Rechte von "news" erhalten und somit die Konfiguration des INN Servers verändern oder in den News-Datenbanken Postings und Verzeichnisse ändern können.
Es wird empfohlen, die in den Advisories genannten Patches zu installieren.

System:	Windows NT 4.0
Topic:	Sicherheitslücke im RASMAN Security Descriptor: MS99-041, ERS-1999.149

In allen Versionen von NT 4.0 (inkl. Terminal Server) wird der Remote Access Connection Manager RASMAN.EXE durch einen Security-Descriptor geschützt. RASMAN.EXE enthält einen Fehler in DACL, durch den unberechtigte Benutzer unter Nutzung des Service Control Managers Anfragen stellen können. Hierunter fällt z.B. auch die Möglichkeit, für diesen Service den Ort, Namen oder insgesamt den Code zu verändern. Hierzu ist ein gültiger Account auf der Maschine notwendig.
Es wird empfohlen, den für die US-Version erschienen Hotfix zu installieren. Ein Fix für die deutsche Länderversion wird folgen.

System:	IBM AIX 4.3.x
Topic:	Pufferüberlauf im ftpd daemon: ERS-1999.004i, J-072, S-99-41

Im ftpd, der mit AIX 4.3.x ausgeliefert wird, ist eine Möglichkeit gefunden worden, durch die Angreifer über das Netzwerk Root-Zugang zur Maschine erhalten können. Code, mit dem das erreicht werden kann, ist veröffentlicht worden. Es wird empfohlen, so bald wie möglich einen temporären Fix zu installieren.

System:	Microsoft IE 5
Topic:	Sicherheitsrisiko durch Active Scripting: MS99-040, ERS-1999.148

Der Internet Explorer 5 enthält das Feature "download behavior", über das vom Web Server aus Scripts geladen werden können, die auf dem Client ausgeführt werden. Dieses sollte nur dann funktionieren, wenn der Server aus der gleichen Domain ist. Durch ein Redirect kann diese Einschränkung umgangen werden, daher können vom Server aus Dateien auf dem Client gelesen werden - lokal oder auch über das Netzwerk.
Es wird empfohlen, beim IE 5 das Active Scripting auszuschalten, ein Hotfix ist ebenfalls verfügbar (US-Version).

System:	SuSE Linux
Topic:	Sicherheitslücken in mars_nwe, sccw und pbpg: SUSE019, SUSE020, SUSE021

Die mars_nwe Tools sind gegenüber einigen Pufferüberläufen empfindlich, über die ein Angreifer Root-Rechte auf der Maschine erreichen kann. Patches sind für Intel-SuSE 5.3, 6.1 und 6.2 verfügbar, SuSE 6.1 on Alpha ist auch gefixt.
Durch das Tool /usr/bin/sccw kann auf dem System jede beliebige Datei, z.B. /etc/shadow oder auch private E-Mail gelesen werden. Es wird empfohlen, den Patch für Intel-SuSE 6.2 zu installieren.
Mit /usr/bin/pg und /usr/bin/pb kann auf dem System jede beliebige Datei, z.B. /etc/shadow oder auch private E-Mail gelesen werden. Es wird empfohlen, den Patch für Intel-SuSE 6.2 zu installieren.

System:	Alle
Topic:	Neues ISS-Summary: ISS, ERS-1999.144

ISS berichtet von 22 neuen Sicherheitslücken:
- http-powerdynamo-dotdotslash
- inn-inews-bo (RedHat, SUSE, Caldera)
- amd-bo (RedHat, Caldera)
- wu-ftpd-dir-name
- nt-sequence-prediction-sp4
- ibm-gina-group-add
- linux-pt-chown
- oracle-dbsnmp
- oracle-dbsnmp-trace
- jet-text-isam
- jet-vba-shell
- lotus-ldap-bo
- smtp-refuser-tmp
- ciscosecure-read-write
- linux-telnetd-term (RedHat, Caldera)
- qms-2060-no-root-password
- trn-symlinks (Debian, SUSE)
- aix-pdnsd-bo
- bsdi-smp-dos
- linux-termcap-tgetent
- suse-identd-dos
- win-ie5-telnet-heap-overflow
Weitere Informationen sind bei ISS abrufbar.

System:	HP-UX
Topic:	Sicherheitslücke in ttsession: HP Security Bulletin #00103, ERS-1999.139, S-99-36

Ttsession benutzt einen schwachen Authentisirungsmechanismus über RPC, daher können lokale, aber auch Benutzer über das Netzwerk auf der Zielmaschine beliebige Kommandos mit den Rechten, unter dem ttsession läuft, absetzen. Es wird empfohlen, den entsprechenden Patch zu installieren:

HP-9000 Series 700/800, HP-UX 10.10	noch nicht verfügbar
HP-9000 Series 700/800, HP-UX 10.20	PHSS_19747
HP-9000 Series 700/800, HP-UX 10.24	noch nicht verfügbar
HP-9000 Series 700/800, HP-UX 11.00	PHSS_19748

System:	Microsoft IIS 4.0
Topic:	Sicherheitslücken durch Domain Resolution und FTP Download: MS99-039, ERS-1999.147, S-99-39, K-002

IIS 4.0 bietet die Möglichkeit, daß der Zugriff auf den Server durch den Namen der Absenderdomain geregelt wird. Wenn der IIS die Absender-IP-Adresse nicht auflösen kann, ist der erste Verbindungsaufbau zum Server gestattet. Danach funktioniert der Zugangsschutz.
Wenn mit passivem FTP (z.B. über Browser) auf den IIS zugegriffen wird, sind alle Dateien herunterladbar, auch wenn sie mit "No Access" gekennzeichnet sind. Diese Lücke ist durch einen Post-SP5 Hotfix entstanden, Benutzer eines NT mit normalem SP5 oder darunter sind hiervon nicht betroffen. Es wird empfohlen, den von Microsoft veröffentlichten (US-)Patch zu installieren.

System:	Windows 9x und NT
Topic:	Sicherheitslücke durch Source-Routing: MS99-038, ERS-1999.145, ERS-1999.146

Windows NT 4.0 Service Pack 5 führte für dieses System einen Mechanismus ein, mit dem Multi-Homed NT-Maschinen, die als Router eingesetzt werden, das Source-Routing unterbunden werden sollte. Selbst wenn Source-Routing hier ausgeschaltet ist, besteht die Möglichkeit, diesen Schutzmechanismus zu umgehen. Gleiches gilt für Systeme unter Windows 95, 98 und 98SE. Für Windows 9x und NT TSE wird derzeit an einem Patch gearbeitet. Bereits heute steht er für die US-Version von NT Workstation und Server zur Verfügung.

System:	Viele Unix
Topic:	Pufferüberlauf in amd: CA-99-12, ERS-1999.143, IN-99-05, J-071, S-99-38

System, die den Berkeley Automounter Daemon amd einsetzen, bieten Angreifern über das Netzwerk Möglichkeiten, beliebigen Code auf der Maschine mit den Rechten des amd (normalerweise root) auszuführen. Weitere Informationen über betroffene Systeme und die Verfügbarkeit von Patches sind im Advisory ausgeführt.

System:	FreeBSD
Topic:	Sicherheitslücken in ftpd, kernel und fts: FreeBSD03, FreeBDS04, FreeBSD05, ERS-1999.140, ERS-1999.141, ERS-1999.142, ERS-1999.143, J-067, J-068, S-99-37

Wuftpd, beroftpd und proftpd können optional den stock ftpd auf einem FreeBSD-System ersetzen. Es sind in den vorher genannten ftpd's verschiedene Sicherheitslücken gefunden worden, die dazu führen können, daß Externe Root-Rechte auf der Maschine erhalten können. Der Standard-ftpd, der mit FreeBSD mitgeliefert wird, zeigt diese Sicherheitslücken nicht.
Als Diagnosetool legt das System bei einem Absturz eine Core an. Durch einen Fehler im Kernel kann es dazu kommen, daß beim Anlegen der Core symbolischen Links gefolgt wird. Im Advisory ist ein Workaround beschrieben, ein Patch ist ebenfalls verfügbar.
In der fts-Bibliothek wurden ebenfalls drei Sicherheitslücken gefunden, durch die Angreifer beliebige Dateien auf dem System überschreiben und dadurch ebenfalls Root-Rechte erhalten können. Ein Patch steht zur Verfügung und sollte baldmöglichst installiert werden.

System:	SuSE Linux
Topic:	Sicherheitslücken in pine, proftpd und lynx: SUSE0909, SUSE017, SUSE018

Das im Juni neu veröffentlichte pine-Package hatte Fehler im IMAP, diese sind jetzt korrigiert worden. Patches sind erhältlich für Intel-SuSE 5.3, 6.1 und 6.2. Weitere Patches können hier heruntergeladen werden.
Im proftpd ist einie Lücke gefunden worden, über die von außen Root-Zugang auf die Maschine erreicht werden kann. Ein Patch ist in Bearbeitung, bis zu seinem Erscheinen wird empfohlen, den proftpd zu deinstallieren und nur den anon-ftpd von Bernstein einzusetzen (nur lesend).
Im lynx-2.8.2 ist eine Möglichkeit gefunden worden, wie von extern Dateien manipuliert oder auch Kommandos auf der Maschine abgesetzt werden können. Daher wird dringend empfohlen, den jetzt erhältlichen Patch einzuspielen: Intel-SuSE 5.3, 6.1, 6.2.

System:	Red Hat Linux
Topic:	Pufferüberlauf in mars_nwe: RH1999-037, ERS-1999.138

System:	viele Unix
Topic:	Sicherheitslücken im Common Desktop Environment (CDE): CA-99-11, ERS-1999.137, S-99-34, K-001

Im CDE wurden einige Sicherheitsrisiken gefunden. Hierbei handelt es sich im einzelnen um
- ToolTalk ttsession benutzt schwache RPC Authentisierungsmechanismen
- CDE dtspcd benutzt dateibasierte Authentisierung
- CDE dtaction Pufferüberlauf
- CDE ToolTalk Pufferüberlauf in der Library TT_SESSION
Wie die genannten Sicherheitsprobleme behoben werden können und welche Systeme/Hersteller betroffen sind, ist im Advisory beschrieben.

System:	Microsoft IE 5
Topic:	Sicherheitslücke durch ImportExportFavorites: MS99.037, ERS-1999.136

Der Microsoft Internet Explorer 5 enthält ein Feature, über das Benutzer ihre Favoriten in eine Datei exportieren, aber auch importieren können. Die hierfür genutzte Funktion ist ImportExportFavorites(), die lediglich bestimmte Dateitypen unterstützen sollte. Ebenso sollte nur Zugang zu bestimmten Bereichen der Festplatte bestehen. Durch das Ausnutzen einer Lücke ist es möglich, daß sie von einer Web Site aus aufgerufen wird und Systemkommandos auf der lokalen Maschine aufrufbar sind. Im Prinzip sind hierdurch alle Möglichkeiten, die der Benutzer hat, auch aus der Ferne aus geboten. Es wird empfohlen, das Active Scripting aus Sicherheitsgründen auszuschalten. Wie dieses machbar ist, wird hier beschrieben.

System:	Windows NT 4.0
Topic:	Installationsparameter bleiben auf der Festplatte für alle lesbar: MS99.036, ERS-1999.135, K-003

Bei einer automatischen Windows-Installation bleibt am Ende die Datei Unattend.txt im Verzeichnis system32 stehen. Sie kann u.U. neben den Installationsparametern auch sensitive Daten wie z.B. das Administratorpasswort enthalten. Daher wird empfohlen, diese Datei auf jeden Fall nach der Installation von Hand zu löschen.

System:	Microsoft Site Server und MCIS
Topic:	Sicherheitsrisiko durch das Caching von Set Cookie Headern: MS99.035, ERS-1999.134

Bei einigen Versionen des Site Servers bzw. Microsoft Commercial Internet Systems (MCIS) werden beim Versand von Cookies keine Flags mit einer Gültigkeitsdauer verschickt. Daher kann diese Seite u.U. von einem Proxy-Server zwischengespeichert werden. Als Folge können verschiedene Benutzer diese Seite mit denselben Cookies angezeigt bekommen, wobei durchaus persönliche Daten über die im Cookie enthaltene GUID sichtbar werden können. Wenn beim Browser keine Cookies benötigt werden, sollte diese Option ausgeschaltet sein. Für Server-Administratoren hat Microsoft einen Hotfix (US-Version) veröffentlicht.

System:	Solaris 2.6 and 7
Topic:	Sicherheitslücken durch LC_MESSAGES: Sun Security Bulletin #00189, ERS-1999.132, J-069, S-99-40

In der libc wird mit der Umgebungsvariablen LC_MESSAGES, die einen Einfluß auf Messaging-Funktionen hat, gearbeitet. Hier besteht die Gefahr, daß ein Pufferüberlauf provoziert wird und damit ein Benutzer Root-Rechte auf der Maschine bekommt. Die u.a. Patches umfassen einerseits Binaries für die libc, aber auch für ufsrestore und rcp, da diese statisch an libc gelinkt sind. Es wird empfohlen, den entsprechenden Patch zu installieren.

System	Patch-ID
SunOS 5.7, 5.7 ufsrestore, 5.7 rcp	106541-07, 106793-03, 107972-01
SunOS 5.7_x86, 5.7_x86 ufsrestore, 5.7_x86 rcp	106542-07, 106794-03, 107973-01
SunOS 5.6, 5.6 ufsrestore, 5.6 rcp	105210-24, 105722-03, 107991-01
5.6_x86, 5.6_x86 ufsrestore, 5.6_x86 rcp	105211-22, 105723-03, 107992-01

System:	OpenBSD
Topic:	Sicherheitsrisiko durch verschiedene Datei-Flags im Dateisystem: OpenBSD, ERS-1999.131, J-066, S-99-35

In BSD 4.4 sind verschiedene Flags für das Dateisystem eingeführt worden. Ein lokaler Benutzer kann diese Flags und den Mode für das Device, von dem er eingeloggt ist, setzen. Durch einen Fehler in login und ähnlichen Programmen kann es dazu kommen, daß der normale chown-Prozeß nicht funktioniert und der erste Benutzer alle folgenden Login-Terminals besitzt. Daher können lokale Benutzer Man-in-the-Middle Angriffe gegen jeden anderen User, auch root, durchführen.
Es wird empfohlen, den Source-Code wie im Advisory beschrieben, anzupassen.

System:	Debian Linux
Topic:	Sicherheitslücken in rsync, termcap-compat, smtp-refuser, and tm: Debian0823, Debian0823a, Debian0823b, Debian0823c

Aufgrund neu aufgetretener Sicherrheitsprobleme sollten baldmöglichst die in den Advisories genannten Updates installiert werden.

System:	Windows 9x und NT (alle Versionen)
Topic:	Sicherheitslücke durch fragmentierte IGMP Pakete: MS99.034, ERS-1999.129

Durch das Versenden fragmentierter IGMP Pakete an Maschinen unter Windows 9x oder Windows NT kann der Normalbetrieb dieser Systeme verändert werden. Vorrangig ist Windows 9x hiervon betroffen, sie können sehr langsam werden oder abstürzen. NT zeigt ähnliche Effekte, aber aufgrund der Architektur ist ein Angriff schwieriger durchzuführen.
Es wird empfohlen, die von Microsoft herausgegebenen Hotfixes zu installieren (US-Version): Windows 95, Windows 98, Windows NT (Workstation 4.0, Windows NT Server 4.0, Windows NT Server, Enterprise Edition) und Windows NT Server 4.0, Terminal Server Edition.

System:	Windows 9x
Topic:	Sicherheitslücke durch Telnet: MS99.033, ERS-1999.133, J-070

Der Telnet-Client, der bei Windows 9x enthalten ist, hat eine Sicherheitslücke. Da die Übergabe von Argumenten beim Aufruf nicht in genügender Weise überprüft wird, besteht hier das Risiko, daß er von einer Web Site aus mit ungültigen Übergabeparametern aufgerufen und als Folge beliebiger Code auf dem Windows-Rechner ausgeführt wird. Hier handelt es sich um klassische Pufferüberlauf-Techniken. Es wird empfohlen, den für Windows 95 und Windows 98 (auch Second Edition) veröffentlichten Hotfix zu installieren.

System:	Alle
Topic:	Neues CERT-Summary: CS-99-03, S-99-33

Seit dem letzten Summary sind folgende Tendenzen feststellbar:
1. Viele RPC-Sicherheitsrisiken:
Durch diese Risiken kann der Administratoraccount kompromittiert werden. Speziell betroffen sind rpc.cmsd, statd, automoutd, and ttbserverd
2. Viren und Trojanische Pferde:
Es ist sehr wichtig, mit Attachments an E-Mails bzw. Postings im Usenet vorsichtig umzugehen.
3. Weiterhin verbreitete Scans auf Server im Internet

System:	Red Hat Linux
Topic:	Pufferüberläufe in amd, proftpd, XFree86 und inn inews: RH1999-032, RH1999-033, RH1999-034, RH1999-035, ERS-1999.126, ERS-1999.127, ERS-1999.128

System:	Alle
Topic:	Denial-of-Service über Domain Name System (DNS): AL-1999.004, J-063, ERS-1999.130, S-99-31

Durch eine neue Art von Denial-of-Service Angriffen wird beim DNS die unterschiedliche Größe von Anfrage- und Antwortpaketen sowie die Offenheit der meisten DNS-Server ausgenutzt. Letztere beruht darauf, daß Antworten von jedem Absender akzeptiert werden. Jeder an das Internet angeschlossene Nameserver kann Ziel dieses Angriffes sein. Durch ihn wird speziell sämtliche Bandbreite durch DNS-Anfragen und u.U. auch ICMP Port unrechable Meldungen sowie den Antworten belegt. Der DNS Server sollte sicher aufgesetzt sein, damit der DoS-Angriff nicht zum Erfolg führen kann. Wie dieses bewerkstelligbar ist, zeigt das Advisory.

System:	Microsoft IE 4.0, 5.0
Topic:	ActiveX: Scriptlet.typlib/Eyedog Sicherheitslücken: MS99-032, J-064, ERS-1999.124

In den ActiveX Controls Scriptlet.typlib and Eyedog wurden Sicherheitslücken gefunden. Die genannten Controls sind unabhängig voneinander, sie sind beide aber als "safe for scripting" gekennzeichnet und können demzufolge vom Internet Explorer geladen werden.
- Scriptlet.typlib ist ein Control, mit dem Entwickler Typen-Bibliotheken für die Windows Scriptkomponenten generieren können. Es ist als "safe for scripting" gekennzeichnet, obwohl über dieses Control ein Zugriff auf die lokale Festplatte möglich ist.
- Eyedog ist ein Control, das von Windows-Diagnosesoftware genutzt wird. Es ist als "safe for scripting" gekennzeichnet, obwohl die Registry der Maschine ausgelesen werden kann. Außerdem ist eines der Controls anfällig gegenüber einem Pufferüberlauf.
Der Patch setzt das sog. "kill bit", damit die Controls vom IE nicht mehr geladen werden. Für die US-Version ist der Patch verfügbar.

System:	HP-UX
Topic:	Sicherheitslücke in rpc.cmsd: HP Security Bulletin #00102, ERS-1999.123

Durch einen Pufferüberlauf besteht eine Sicherheitslücke im CDE Calendar Manager Service Daemon, rpc.cmsd. Dadurch können alle Benutzer beliebigen Code auf der Maschine ausführen und damit auch Root-Rechte erreichen. Patches sind verfügbar, Version 10.30 ist ebenfalls betroffen, aber ein Patch hierfür wird nicht mehr herausgegeben.

HP-9000 Series 700/800, HP-UX 10.20	PHSS_19482
HP-9000 Series 700/800, HP-UX 11.00	PHSS_19483

Hier sind die Meldungen vom August 1999, Juli 1999, Juni 1999, Mai 1999, April 1999 und März 1999 zu finden