CERT-FI haavoittuvuustiedote 027/2002

10.5.2002

Haavoittuvuus DHCPD-palvelussa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

DHCPD (Dynamic Host Configuration Protocol Daemon)-palvelu käsittelee verkkoon liittyvien tietojärjestelmien palvelupyyntöjä. DHCPD-palvelu lähettää verkkoon liitetyn tietojärjestelmän verkkotunnistetiedot nimipalvelun sisältämälle tietojärjestelmälle ja tallentaa tämän tapahtuman tiedot loki-tiedostoon. Haavoittuvuus liittyy loki-tiedoston tallennusprosessiin, jota hyväksikäyttämällä hyökkääjän on mahdollista suorittaa omia komentojaan tietojärjestelmässä tietojärjestelmän ylläpitäjän oikeuksilla.

HAAVOITTUVAT OHJELMISTOT:

ISC DHCPD 3.0 - 3.0.1rc8

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla. Pääsyä DHCPD-palveluun voidaan myös rajata esimerkiksi palomuurilla. Yleisohjeena CERT-FI suosittaa kaikkien ylimääräisten palveluiden sulkemista, ellei niiden käyttöön ole erityistä tarvetta. On mahdollista, että kaikissa tietojärjestelmissä ei tarvitse käyttää DHCPD-palvelua.

DHCPD-palvelua päivitettäessä on huomioitava, että siihen tehdyt muutokset voivat aiheuttaa häiriöitä verkon toiminnassa.

LISÄTIETOA:

http://www.cert.org/advisories/CA-2002-12.html/

http://www.isc.org/

PÄIVITYSHISTORIA:

10.05.2002: Julkaistu

Sivua päivitetty 22.08.2007

Tulostusversio