L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de Attaque par format du démon rpc.ttdbserverd

Synthèse de la vulnérabilité 

En utilisant des requêtes RPC malicieuses, un attaquant distant peut mener un déni de service ou exécuter du code sur la machine distante.
Produits impactés : Tru64 UNIX, HP-UX, AIX, Solaris, Trusted Solaris.
Gravité de ce bulletin : 3/4.
Date de création : 03/10/2001.
Dates de révisions : 04/10/2001, 05/10/2001, 08/10/2001, 15/10/2001, 07/11/2001, 12/11/2001, 14/11/2001, 21/11/2001, 04/12/2001, 07/12/2001, 16/01/2002.
Références de cette menace : BID-3382, CA-2001-27, CERTA-2001-AVI-107, CIAC M-002, CVE-2001-0717, HP168, IBM-APAR-IY23846, IBM-APAR-IY24387, IBM-OAR-2001-425, ISS0098, ISS 98, IY23846, IY24387, M-002, MSS-OAR-E01-2001:425.1, Sun #00212, Sun 212, Sun Alert 40770, Sun Alert ID 40770, Sun BugID 4499995, V6-UNIXTOOLTALKFORMAT, VIGILANCE-VUL-1905, VU#595507.

Description de la vulnérabilité 

Le produit Tooltalk est conçu pour autoriser certaines applications à communiquer avec d'autres par le biais du réseaux en utilisant des RPC (Remote Procedure Call). Ces RPC sont contrôlées par le démon rpc.ttdbserverd (serveur de base de donnée de Tooltalk) qui est exécuté avec les droit root.

Ce démon est activé par défaut sur la plupart des systèmes Unix, même si ses fonctionnalités ne sont pas nécessaires ou si les applications l'utilisant ne sont pas présentes.

Une erreur d'implémentation à été découverte dans le démon lors de l'appel à la fonction "syslog()" car il ne spécifie pas le format des arguments passés par l'utilisateur. Si un attaquant créé une chaîne contenant des caractères de formatage et l'envoie dans une requête RPC, il peut écrire en dehors des limites de la mémoire.

Un attaquant distant peut donc concevoir des requêtes malicieuses vers le démon RPC, lui permettant de contrôler et manipuler des données dans des endroits arbitraires de la mémoire.

Il peut ainsi mener un déni de service sur le démon ou d'exécuter du code sur le système cible avec les droits administrateur.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cet avis de vulnérabilité informatique concerne les logiciels ou systèmes comme Tru64 UNIX, HP-UX, AIX, Solaris, Trusted Solaris.

Notre équipe Vigil@nce a déterminé que la gravité de cette menace informatique est important.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de client intranet.

Un attaquant avec un niveau de compétence expert peut exploiter cette menace cybersécurité.

Solutions pour cette menace 

Solution pour HP-UX.
La contre-mesure de la première annonce d'HP (rpc.ttdbserver.tar.gz) corrigeait la vulnérabilité.
Des patch sont maintenant disponibles:
 - HP-UX 10.10: PHSS_25136
 - HP-UX 10.20: PHSS_25137
 - HP-UX 10.24: PHSS_25419
 - HP-UX 11.00: PHSS_25138
 - HP-UX 11.04: PHSS_25420
 - HP-UX 11.11: PHSS_25139
Il est conseillé de désactiver le démon ToolTalk, si son utilisation n'est pas nécessaire, en éditant le fichier /etc/inetd.conf:
  #rpc stream tcp swait root /usr/dt/bin/rpc.ttdbserver ...
Puis, il faut redémarrer inetd :
   /usr/sbin/inetd -c
Enfin, il faut tuer les éventuelles instances de rpc.ttdbserver actives :
 - lister tous les processus et rechercher "rpc.ttdbserver"
 - kill pid

Solution pour Solaris.
Des patchs sont disponibles:
 - Sparc:
    SunOS 5.5: 104428-12
    SunOS 5.5.1: 104489-14
    SunOS 5.6: 105802-16
    SunOS 5.7: 107893-15
    SunOS 5.8: 110286-04
 - Intel:
    SunOS 5.5: 105495-10
    SunOS 5.5.1: 105496-12
    SunOS 5.6: 105803-18
    SunOS 5.7: 107894-14
    SunOS 5.8: 110287-04
Il est conseillé de désactiver le démon ToolTalk si son utilisation n'est pas nécessaire.

Solution pour SGI Irix.
Un patch sera bientôt disponible à suivante:
  http://www.sgi.com/support/security/patches.html
Il est conseillé de désactiver le démon ToolTalk si son utilisation n'est pas nécessaire.

Solution pour Aix.
Un patch temporaire est disponible à l'url suivante:
  ftp://aix.software.ibm.com/aix/efixes/security/tooltalk_efix.tar.Z
Il est conseillé de désactiver le démon ToolTalk si son utilisation n'est pas nécessaire.
Cette vulnérabilité est corrigée par le PTF U476690

Solution pour Tru64.
Des patch sont disponibles à l'url suivante: http://ftp1.support.compaq.com/public/dunix/
 - DUV40F17-C0056200-11703-ER-20010928.tar
 - T64V40G17-C0007000-11704-ER-20010928.tar
 - T64V50A17-C0015500-11705-ER-20010928.tar
 - T64V5117-C0065200-11706-ER-20010928.tar
 - T64V51Assb-C0000800-11707-ER-20010928.tar
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit des avis de vulnérabilités de systèmes. Chaque administrateur peut personnaliser la liste des produits pour lesquels il souhaite recevoir des alertes de vulnérabilités.