Se ha descubierto una vulnerabilidad de desbordamiento de búfer en el
demonio de red Subprocess Control Server (dtspcd) en todas las variantes
de Unix que ejecutan el sistema CDE (Common Desktop Environment). Esta
vulnerabilidad en el demonio dtspcd puede llegar a permitir a cualquier
atacante remoto la posibilidad de ejecución de código con privilegios de
super usuario en el sistema afectado.
El demonio de Subprocess Control Server no está pensado para ser
ejecutado por los usuarios normales pero es ejecutado por otros
componentes del propio sistema CDE. Este demonio acepta peticiones de
clientes para ejecutar comandos y lanzar aplicaciones de forma remota.
dtspcd se inicia por el demonio de servicios Internet inetd cuando un
cliente CDE intenta crear un proceso en el demonio del host. Este
demonio se instala habitualmente para correr en el puerto 6112/tcp con
privilegios de root.
Existe una condición de desbordamiento de búfer en la rutina de
negociación de conexión con dtpscd. El atacante remoto puede generar una
petición del cliente CDE especialmente creada para explotar la
vulnerabilidad y ejecutar código arbitrario en el sistema objetivo con
permisos de super usuario.
El demonio Subprocess Control Server está activado por defecto en todos
los sistemas operativos con CDE instalado. Además este proceso se
ejecuta por el usuario root y acepta conexiones remotas por defecto.
Como medida general y hasta la publicación o aplicación de los parches
se recomienda limitar o bloquear el acceso al Subprocess Control Service
desde redes no confiables como Internet. Mediante el uso de un firewall
o cualquier otra tecnología de filtrado de paquetes se bloqueará o
restringirá el acceso al puerto empleado por el demonio, que
habitualmente se configura para escuchar el puerto 6112/tcp.
Sun ha reconocido que el demonio dtspcd es vulnerable a este
desbordamiento de búfer y está trabajando en el desarrollo de los
parches para las versiones afectadas de Solaris.
En los sistemas TRU64 Compaq anuncia la imposibilidad de reproducir el
problema, sin embargo publicará próximamente una actualización para
reducir la posibilidad de cualquier vulnerabilidad de desbordamiento de
búfer.
Para Sistemas HP-UX Hewlett-Packard reconoce la existencia de la
vulnerabilidad y anuncia el desarrollo de parches para evitar el
problema. Hasta la publicación y disponibilidad de dichos parches HP
proporciona un archivo dtspcd para reemplazarlo en los sistemas
afectados y evitar la vulnerabilidad.
Se deberá descargar el archivo dtspcd.tar.gz del sitio ftp:
hprc.external.hp.com (192.170.19.51).
Este archivo se publica de forma temporal y deberá ser eliminado cuando
los parches finales estén disponibles por HP.
Dirección ftp: hprc.external.hp.com (192.170.19.51).
usuario: dtspcd
password: dtspcd
archivo: dtspcd.tar.gz
Se podrá instalar el nuevo dtspcd mediante el script install_dtscpd
incluido en el paquete descargado.
antonior@hispasec.com
Más información:
CERT Advisory CA-2001-31 Buffer Overflow in CDE Subprocess Control
Service
http://www.cert.org/advisories/CA-2001-31.html
Multi-vendor CDE dtspcd daemon buffer overflow
http://xforce.iss.net/static/7396.php
Internet Security Systems Security Advisory #101,
Multi-Vendor Buffer Overflow Vulnerability in CDE Subprocess Control
Service
http://xforce.iss.net/alerts/advise101.php
Caldera International, Inc. Security Advisory CSSA-2001-SCO.30
http://www.securityfocus.com/advisories/3645
CERT Vulnerability Note VU#172583
Common Desktop Environment (CDE) Subprocess Control Service dtspcd
contains buffer overflow
http://www.kb.cert.org/vuls/id/172583
Hewlett-Packard Security Bulletin #00175
http://www.securityfocus.com/advisories/3651
Deja una respuesta