【詳細情報】CDE ToolTalkの機能にバッファオーバーフローが存在
◆概要:
報道によれば、Common Desktop Environment(CDE)ToolTalkサービスでのデータベースサーバーのバッファオーバーフローを悪用して、リモート攻撃者が任意のコードを実行したり、攻撃対象のホストをクラッシュすることができる。ToolTalkにより、アプリケーシ
国際
海外情報
報道によれば、Common Desktop Environment(CDE)ToolTalkサービスでのデータベースサーバーのバッファオーバーフローを悪用して、リモート攻撃者が任意のコードを実行したり、攻撃対象のホストをクラッシュすることができる。ToolTalkにより、アプリケーションはリモートプロシージャコール(RPC)を介してネットワーク上で通信できる。この通信を制御するToolTalkのデータベースサーバー(rpc.ttdbserverd)には“_TT_CREATE_FILE()”プロシージャが格納されており、攻撃者が特殊なRPCメッセージで長い引数を受け渡すと、関連するバッファがオーバーフローする可能性がある。
Mitre社のCommon Vulnerabilities and Exposures(CVE:一般的な脆弱性と暴露性)の論説委員会では、この問題に対してCAN-2002-0679というID番号を付与している。
◆情報ソース:
・Entercept Security Technologies ( http://www.entercept.com/news/uspr/08-12-02.asp ), Aug. 12, 2002
・CERT (Advisory CA-2002-26, http://www.cert.org/advisories/CA-2002-26.html ), Aug. 12, 2002
◆キーワード:
Caldera: OpenUnix 8 Caldera: UnixWare 7
HP UX 11i HP UX 11.0
HP UX 10.20 HP UX 10.x
HP UX 9.x HP UX 8.x
HP UX 7.x IBM: AIX 5L 5.1
IBM: AIX 4.3.x Sun: Solaris 9.x
Sun: Solaris 8.x Sun: Solaris 7.x
Sun: Solaris 2.x
◆分析:
(iDEFENSE米国)rpc.ttdbserverdはほとんどのUnixベースのシステム上にてルート特権で動作しているため、攻撃者は悪用により同じ特権レベルで、攻撃対象のホスト上にて任意のコードを実行することができる。多数のシステムがこれをデフォルトでインストールし、有効に設定しているため、悪用が多発する可能性が高い。一部のオペレーションシステムで提供されている非実行スタック保護でヒープ上のコードの実行を阻止できない可能性がある。
◆検知方法:
報道でこの問題が確認されている製品を販売しているベンダーは以下の通り。
・Caldera International社
・コンパックコンピュータ社
・クレイ社
・富士通
・ヒューレットパッカード社
・IBM
・シリコングラフィックス社
・サンマイクロシステムズ社
・The Open Group
・Xi Graphics社
◆暫定処置:
以下のいずれかを実行することにより、ユーザーは悪用を緩和できる。
・rpc.ttdbserverdを無効に設定する。
・RPCポートマッパーサービス、ToolTalk RPCデータベースサービスへのアクセスをブロックまたは制限する。
rpc.ttdbserverdを無効に設定するには、まずrpc.ttdbserverdが動作しているか確認する。サンマイクロシステムズ社のSolaris 8 OSでのrpcinfo()、ps()コマンドの出力から、作業が必要か否か判断する。
# rpcinfo -p | grep 100083
100083 1 tcp 32773
# ps -ef | grep rpc.ttdbserverd
root 355 164 0 19:31:27 ? 0:00 rpc.ttdbserverd
rpc.ttdbserverdのプログラム番号は100083である。100083またはrpc.ttdbserverdへの参照が/etc/inetd.conf、/etc/rpcすなわちpcinfo()、ps()コマンドの出力で確認された場合、ToolTalk RPCデータベースサーバーが動作している可能性がある。これを無効に設定するには、Solaris 8の場合は/etc/rpcまたは/etc/inetd.confファイルを確認し、以下のエントリをコメントとして入力する。
#
# Sun ToolTalk Database Server
#
100083/1 tli rpc/tcp wait root /usr/dt/bin/rpc.ttdbserverd rpc.ttdbserverd
RPCポートマッパーサービス、ToolTalk RPCデータベースサービスへのアクセスをブロックまたは制限するには、一般的にこれらの2つのサービスで用いられているポートをブロックする(一般的にRPCポートマッパーサービスはTCP/UDPポート111上で動作しており、ToolTalk RPCサービスはTCPポート692またはrpcinfoコマンドの出力に記載されているポートを使用するよう構成されている可能性がある)。ただし、この作業ではローカルでの悪用は阻止できない。
◆ベンダー情報:
ベンダー各社からのアドバイザリーは今週中に発表されると思われる。
※この情報はアイ・ディフェンス・ジャパン
( http://www.idefense.co.jp/ )より提供いただいております。
アイディフェンス社の iAlert サービスについて
http://shop.vagabond.co.jp/p-alt01.shtml
情報の内容は以下の時点におけるものです。
【18:43 GMT、08、12、2002】
《ScanNetSecurity》