【詳細情報】CDE ToolTalkの機能にバッファオーバーフローが存在 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.10.18(水)

【詳細情報】CDE ToolTalkの機能にバッファオーバーフローが存在

国際 海外情報

◆概要:
 報道によれば、Common Desktop Environment(CDE)ToolTalkサービスでのデータベースサーバーのバッファオーバーフローを悪用して、リモート攻撃者が任意のコードを実行したり、攻撃対象のホストをクラッシュすることができる。ToolTalkにより、アプリケーションはリモートプロシージャコール(RPC)を介してネットワーク上で通信できる。この通信を制御するToolTalkのデータベースサーバー(rpc.ttdbserverd)には“_TT_CREATE_FILE()”プロシージャが格納されており、攻撃者が特殊なRPCメッセージで長い引数を受け渡すと、関連するバッファがオーバーフローする可能性がある。

 Mitre社のCommon Vulnerabilities and Exposures(CVE:一般的な脆弱性と暴露性)の論説委員会では、この問題に対してCAN-2002-0679というID番号を付与している。


◆情報ソース:
・Entercept Security Technologies ( http://www.entercept.com/news/uspr/08-12-02.asp ), Aug. 12, 2002
・CERT (Advisory CA-2002-26, http://www.cert.org/advisories/CA-2002-26.html ), Aug. 12, 2002

◆キーワード:
 Caldera: OpenUnix 8 Caldera: UnixWare 7
 HP UX 11i HP UX 11.0
 HP UX 10.20 HP UX 10.x
 HP UX 9.x HP UX 8.x
 HP UX 7.x IBM: AIX 5L 5.1
 IBM: AIX 4.3.x Sun: Solaris 9.x
 Sun: Solaris 8.x Sun: Solaris 7.x
 Sun: Solaris 2.x

◆分析:
 (iDEFENSE米国)rpc.ttdbserverdはほとんどのUnixベースのシステム上にてルート特権で動作しているため、攻撃者は悪用により同じ特権レベルで、攻撃対象のホスト上にて任意のコードを実行することができる。多数のシステムがこれをデフォルトでインストールし、有効に設定しているため、悪用が多発する可能性が高い。一部のオペレーションシステムで提供されている非実行スタック保護でヒープ上のコードの実行を阻止できない可能性がある。

◆検知方法:
 報道でこの問題が確認されている製品を販売しているベンダーは以下の通り。

・Caldera International社
・コンパックコンピュータ社
・クレイ社
・富士通
・ヒューレットパッカード社
・IBM
・シリコングラフィックス社
・サンマイクロシステムズ社
・The Open Group
・Xi Graphics社

◆暫定処置:
 以下のいずれかを実行することにより、ユーザーは悪用を緩和できる。

・rpc.ttdbserverdを無効に設定する。
・RPCポートマッパーサービス、ToolTalk RPCデータベースサービスへのアクセスをブロックまたは制限する。

 rpc.ttdbserverdを無効に設定するには、まずrpc.ttdbserverdが動作しているか確認する。サンマイクロシステムズ社のSolaris 8 OSでのrpcinfo()、ps()コマンドの出力から、作業が必要か否か判断する。

# rpcinfo -p | grep 100083
100083 1 tcp 32773

# ps -ef | grep rpc.ttdbserverd
root 355 164 0 19:31:27 ? 0:00 rpc.ttdbserverd

 rpc.ttdbserverdのプログラム番号は100083である。100083またはrpc.ttdbserverdへの参照が/etc/inetd.conf、/etc/rpcすなわちpcinfo()、ps()コマンドの出力で確認された場合、ToolTalk RPCデータベースサーバーが動作している可能性がある。これを無効に設定するには、Solaris 8の場合は/etc/rpcまたは/etc/inetd.confファイルを確認し、以下のエントリをコメントとして入力する。

#
# Sun ToolTalk Database Server
#
100083/1 tli rpc/tcp wait root /usr/dt/bin/rpc.ttdbserverd rpc.ttdbserverd

 RPCポートマッパーサービス、ToolTalk RPCデータベースサービスへのアクセスをブロックまたは制限するには、一般的にこれらの2つのサービスで用いられているポートをブロックする(一般的にRPCポートマッパーサービスはTCP/UDPポート111上で動作しており、ToolTalk RPCサービスはTCPポート692またはrpcinfoコマンドの出力に記載されているポートを使用するよう構成されている可能性がある)。ただし、この作業ではローカルでの悪用は阻止できない。

◆ベンダー情報:
 ベンダー各社からのアドバイザリーは今週中に発表されると思われる。


※この情報はアイ・ディフェンス・ジャパン
 ( http://www.idefense.co.jp/ )より提供いただいております。
  アイディフェンス社の iAlert サービスについて
  http://shop.vagabond.co.jp/p-alt01.shtml
  情報の内容は以下の時点におけるものです。
 【18:43 GMT、08、12、2002】
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. 搾取される底辺サイバー犯罪者、無料配付トロイにはバックドア(The Register)

    搾取される底辺サイバー犯罪者、無料配付トロイにはバックドア(The Register)

  2. セキュリティ人材の慢性不足、海外の取り組みは(The Register)

    セキュリティ人材の慢性不足、海外の取り組みは(The Register)

  3. SMSによる二要素認証が招くSOS(The Register)

    SMSによる二要素認証が招くSOS(The Register)

  4. フィッシング詐欺支援サービスの価格表(The Register)

  5. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  6. iCloudからの女優のプライベート画像流出事件、容疑者がフィッシングの罪を大筋で認める

  7. Mac OS X のシングルユーザモードの root アクセス(2)

  8. Cisco のセキュリティビジネスに市場が多大な関心を寄せる理由(The Register)

  9. AWS 設定ミスでウォールストリートジャーナル購読者情報他 220 万件流出(The Register)

  10. Anonymousが幼児虐待の秘密の拠点を閉鎖~Tor小児愛者を攻撃し氏名を暴露(The Register)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×