CERT-FI haavoittuvuustiedote 048/2002

6.8.2002

Haavoittuvuus XDR- kirjastossa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

XDR (external data representation) on kirjasto, jota käytetään lähetettäessä dataa järjestelmän prosessilta toiselle. Nämä prosessit sijaitsevat tyypillisesti toisessa tietojärjestelmässä. XDR- kirjasto toimitetaan usean eri ohjelmistovalmistajan sovelluksen yhteydessä ja se on näin ollen laajasti käytössä eri tietojärjestelmissä. XDR -kirjastosta on löydetty haavoittuvuus, joka voi johtaa puskurinylivuotoon. Tätä puskurinylivuotoa hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan kohdetietojärjestelmän ylläpitäjän oikeuksilla.

HAAVOITTUVAT OHJELMISTOT:

Sun Microsystems network services- kirjasto (libnsl)

BSD:n mukana tulevat kirjastot, jotka käyttävät XDR/RPC rutiineja (libc)

GNU C -kirjastot, joita käytetään sunrpc:n kanssa (glibc)

Lisätietoa haavoittuvista tietojärjestelmistä saa osoitteesta:

http://www.cert.org/advisories/CA-2002-25.html/

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla. On huomioitavaa, että XDR -kirjastoja voivat käyttää useat tietojärjestelmän sovellukset. On siis mahdollista, että tietojärjestelmään joudutaan päivittämään useita eri korjaustiedostoja, jotta tietojärjestelmä olisi tämän haavoittuvuuden suhteen turvallinen. Jos tietojärjestelmän päivittäminen korjaustiedostolla ei ole mahdollista tulisi pääsy haavoittuvaan tietojärjestelmään estää. Yleisohjeena CERT-FI suosittelee sulkemaan tietojärjestelmässä kaikki ne palvelut, joita ei välttämättä tarvita.

LISÄTIETOA:

http://www.cert.org/advisories/CA-2002-25.html/

PÄIVITYSHISTORIA:

06.08.2002: Julkaistu

Sivua päivitetty 22.08.2007

Tulostusversio