jueves, 18 de julio de 2002

Vulnerabilidad en CDE ToolTalk

Las versiones no actualizadas del módulo ToolTalk del entorno CDE son
susceptibles a dos ataques que permiten realizar una denegación de
servicio, borrar o sobreescribir cualquier archivo del sistema, y
ejecutar código arbitrario.
CDE (Common Desktop Environemnt) es un entorno gráfico de usuario que
funciona en multitud de plataformas Unix (incluyendo Solaris, Compaq,
AIX, Linux y otros sistemas operativos). ToolTalk facilita la
infraestructura necesaria para el intercambio de información entre
múltiples aplicaciones y sistemas que ejecuten CDE.

Las versiones sin actualizar de ToolTalk contienen dos vulnerabilidades:

La primera de ellas permite eliminar cualquier archivo del sistema,
matar el servicio ToolTalk e, incluso, ejecutar código arbitrario en la
máquina, con privilegios de administrador.

La segunda vulnerabilidad permite sobreescribir cualquier fichero del
sistema (incluyendo el fichero de claves) con la información que el
atacante elija.

Ambas vulnerabilidades se pueden provocar de forma remota, por lo que
Hispasec recomienda encarecidamente tomar medidas apropiadas enseguida.
Lo más recomendable, por supuesto, es actualizar el servidor ToolTalk
con el parche correspondiente del fabricante. Si ello no es posible, y
no se está utilizando las funcionalidades ToolTalk en producción, se
puede deshabilitar el servicio editando el fichero "/etc/inetd.conf" o
similar de nuestro sistema operativo, donde debemos eliminar las líneas
del tipo:


100083/1 tli rpc/tcp wait root /usr/dt/bin/rpc.ttdbserverd
rpc.ttdbserverd


También debe eliminarse el proceso en memoria, que aparecerá de forma
semejante a:


# ps -ef
UID PID PPID C STIME TTY TIME CMD
...
root 355 164 0 19:31:27 ? 0:00 rpc.ttdbserverd
...


En caso de requerir el servicio ToolTalk y no disponer de parche, al
menos debemos disponer de medidas perimetrales como cortafuegos o reglas
de acceso en los "routers", para limitar la posibilidad de que un
atacante externo acceda a nuestros sistemas empleando estas
vulnerabilidades. Es importante recordar que dichas medidas deben ser
siempre temporales, y que no nos protegen de posibles atacantes en
nuestra propia intranet.

La mayoría de los fabricantes que utilizan DCE ya han publicado
actualizaciones de seguridad del servicio. Revise el estado de los
parches pendientes de aplicación.



Jesús Cea Avión
jcea@hispasec.com


Más información:

CERT® Advisory CA-2002-20 Multiple Vulnerabilities in CDE ToolTalk
http://www.cert.org/advisories/CA-2002-20.html

Múltiples Vulnerabilidades en CDE ToolTalk
http://www.unam-cert.unam.mx/Boletines/Boletines2002/boletin-UNAM-CERT-2002-020.html

Vulnerability Note VU#975403
Common Desktop Environment (CDE) ToolTalk RPC database server
(rpc.ttdbserverd) does not adequately validate file descriptor arguement
to _TT_ISCLOSE()
http://www.kb.cert.org/vuls/id/975403

Vulnerability Note VU#299816
Common Desktop Environment (CDE) ToolTalk RPC database server
(rpc.ttdbserverd) does not adequately validate file operations

http://www.kb.cert.org/vuls/id/299816

Desktop Technologies -- CDE
http://www.opengroup.org/cde/

Open Group Desktop Technologies Frequently Asked Questions
http://www.opengroup.org/desktop/faq/

06/10/2001 - Vulnerabilidad en CDE ToolTalk
http://www.hispasec.com/unaaldia.asp?id=1077