【詳細情報】CDE ToolTalkの機能にバッファオーバーフローが存在 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.12.12(火)

【詳細情報】CDE ToolTalkの機能にバッファオーバーフローが存在

国際 海外情報

◆概要:
 報道によれば、Common Desktop Environment(CDE)ToolTalkサービスでのデータベースサーバーのバッファオーバーフローを悪用して、リモート攻撃者が任意のコードを実行したり、攻撃対象のホストをクラッシュすることができる。ToolTalkにより、アプリケーションはリモートプロシージャコール(RPC)を介してネットワーク上で通信できる。この通信を制御するToolTalkのデータベースサーバー(rpc.ttdbserverd)には“_TT_CREATE_FILE()”プロシージャが格納されており、攻撃者が特殊なRPCメッセージで長い引数を受け渡すと、関連するバッファがオーバーフローする可能性がある。

 Mitre社のCommon Vulnerabilities and Exposures(CVE:一般的な脆弱性と暴露性)の論説委員会では、この問題に対してCAN-2002-0679というID番号を付与している。


◆情報ソース:
・Entercept Security Technologies ( http://www.entercept.com/news/uspr/08-12-02.asp ), Aug. 12, 2002
・CERT (Advisory CA-2002-26, http://www.cert.org/advisories/CA-2002-26.html ), Aug. 12, 2002

◆キーワード:
 Caldera: OpenUnix 8 Caldera: UnixWare 7
 HP UX 11i HP UX 11.0
 HP UX 10.20 HP UX 10.x
 HP UX 9.x HP UX 8.x
 HP UX 7.x IBM: AIX 5L 5.1
 IBM: AIX 4.3.x Sun: Solaris 9.x
 Sun: Solaris 8.x Sun: Solaris 7.x
 Sun: Solaris 2.x

◆分析:
 (iDEFENSE米国)rpc.ttdbserverdはほとんどのUnixベースのシステム上にてルート特権で動作しているため、攻撃者は悪用により同じ特権レベルで、攻撃対象のホスト上にて任意のコードを実行することができる。多数のシステムがこれをデフォルトでインストールし、有効に設定しているため、悪用が多発する可能性が高い。一部のオペレーションシステムで提供されている非実行スタック保護でヒープ上のコードの実行を阻止できない可能性がある。

◆検知方法:
 報道でこの問題が確認されている製品を販売しているベンダーは以下の通り。

・Caldera International社
・コンパックコンピュータ社
・クレイ社
・富士通
・ヒューレットパッカード社
・IBM
・シリコングラフィックス社
・サンマイクロシステムズ社
・The Open Group
・Xi Graphics社

◆暫定処置:
 以下のいずれかを実行することにより、ユーザーは悪用を緩和できる。

・rpc.ttdbserverdを無効に設定する。
・RPCポートマッパーサービス、ToolTalk RPCデータベースサービスへのアクセスをブロックまたは制限する。

 rpc.ttdbserverdを無効に設定するには、まずrpc.ttdbserverdが動作しているか確認する。サンマイクロシステムズ社のSolaris 8 OSでのrpcinfo()、ps()コマンドの出力から、作業が必要か否か判断する。

# rpcinfo -p | grep 100083
100083 1 tcp 32773

# ps -ef | grep rpc.ttdbserverd
root 355 164 0 19:31:27 ? 0:00 rpc.ttdbserverd

 rpc.ttdbserverdのプログラム番号は100083である。100083またはrpc.ttdbserverdへの参照が/etc/inetd.conf、/etc/rpcすなわちpcinfo()、ps()コマンドの出力で確認された場合、ToolTalk RPCデータベースサーバーが動作している可能性がある。これを無効に設定するには、Solaris 8の場合は/etc/rpcまたは/etc/inetd.confファイルを確認し、以下のエントリをコメントとして入力する。

#
# Sun ToolTalk Database Server
#
100083/1 tli rpc/tcp wait root /usr/dt/bin/rpc.ttdbserverd rpc.ttdbserverd

 RPCポートマッパーサービス、ToolTalk RPCデータベースサービスへのアクセスをブロックまたは制限するには、一般的にこれらの2つのサービスで用いられているポートをブロックする(一般的にRPCポートマッパーサービスはTCP/UDPポート111上で動作しており、ToolTalk RPCサービスはTCPポート692またはrpcinfoコマンドの出力に記載されているポートを使用するよう構成されている可能性がある)。ただし、この作業ではローカルでの悪用は阻止できない。

◆ベンダー情報:
 ベンダー各社からのアドバイザリーは今週中に発表されると思われる。


※この情報はアイ・ディフェンス・ジャパン
 ( http://www.idefense.co.jp/ )より提供いただいております。
  アイディフェンス社の iAlert サービスについて
  http://shop.vagabond.co.jp/p-alt01.shtml
  情報の内容は以下の時点におけるものです。
 【18:43 GMT、08、12、2002】
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. 死亡した男性のメールアカウントを巡るヤフーと裁判所の争い(The Register)

    死亡した男性のメールアカウントを巡るヤフーと裁判所の争い(The Register)

  2. どこかへ跳んでいけ、出来の悪いラビット(The Register)

    どこかへ跳んでいけ、出来の悪いラビット(The Register)

  3. 米軍のSNSに対する膨大なスパイアーカイブ、AWS で数十テラ閲覧可(The Register)

    米軍のSNSに対する膨大なスパイアーカイブ、AWS で数十テラ閲覧可(The Register)

  4. 捜査中だった米大統領選に使用されたサーバのデータが消失(The Register)

  5. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  6. インドのレジストリで情報漏えい、インドのネットを壊滅させるデータのビットコイン価格とは(The Register)

  7. WPA2の新たな脆弱性への攻撃KRACK、暗号化技術の根底にある欠陥(The Register)

  8. Anonymousが幼児虐待の秘密の拠点を閉鎖~Tor小児愛者を攻撃し氏名を暴露(The Register)

  9. スバルのキー・フォブに脆弱性あり、オランダ人技術者語る(The Register)

  10. Mac OS X のシングルユーザモードの root アクセス(2)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×