CERT-FI haavoittuvuustiedote 026/2002

7.5.2002

Haavoittuvuus Cachefs-palvelussa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Sun NFS/RPC tiedostojärjestelmä Cachefs-palvelu toimitetaan oletusasennuksena Sun Solaris käyttojärjestelmä versioiden 2.5.1, 2.6, 2.7 ja 8 mukana (SPARC ja Intel-pohjaiset versiot). Cachefs tallentaa toisista tietojärjestelmistä tulevat NFS (Network File System)-pyynnöt odottamaan niiden käsittelyä. Cachefs-palvelusta on löydetty haavoittuvuus, jota hyväksikäyttämällä hyökkääjän on mahdollista suorittaa omia komentojaan kohdetietojärjestelmässä tietojärjestelmän ylläpitäjän oikeuksilla. Haavoittuvuus liittyy Cachefs-palvelun ohjelmoinnissa käytetyn keon ylivuotoon.

HAAVOITTUVAT OHJELMISTOT:

Sun Solaris-käyttöjärjestelmän versiot 2.5.1, 2.6, 7 ja 8 (SPARC ja Intel-pohjaiset)

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla. Jos korjaustiedostoa ei ole saatavilla, sulje Cachefsd-palvelu inetd.conf-tiedostosta, kunnes päivitys on saatavilla. Jos palvelua ei voida sulkea, tutustu Sunin tekemään varoitukseen ja sen sisältämiin ohjeisiin osoitteessa:

http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F44309/

LISÄTIETOA:

http://www.cert.org/advisories/CA-2002-11.html/

http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F44309/

PÄIVITYSHISTORIA:

07.05.2002: Julkaistu

Sivua päivitetty 22.08.2007

Tulostusversio