NEOHAPSIS - Peace of Mind Through Integrity and Insight

Neohapsis is currently accepting applications for employment. For more information, please visit our website www.neohapsis.com or email hr@neohapsis.com

Neohapsis > Archives > Conectiva Linux> 2001-q3

From: secureconectiva.com.br
Date: Thu Jul 19 2001 - 10:11:21 CDT

Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

- -------------------------------------------------------------------------
ANÚNCIO DE SEGURANÇA DO CONECTIVA LINUX
- -------------------------------------------------------------------------

PACOTE : tcltk
RESUMO : Caminho inseguro de procura de bibliotecas dinâmicas
DATA : 2001-07-19 12:10:00
ANÚNCIO : CLA-2001:409
EDIÇÕES : 6.0, 7.0

- -------------------------------------------------------------------------

DESCRIÇÃO DO PROBLEMA
zen-parse reportou [1][2] que os programas "tcl" e "expect" procuram
por bibliotecas dinâmicas a partir do diretório corrente e em
/var/tmp, respectivamente.
O programa expect é usado, entre outros, pelo programa mkpasswd,
comumente utilizado para gerar novas senhas. Um atacante local
poderia colocar uma versão falsa de uma biblioteca em /var/tmp (é um
diretório com permissão de escrita para qualquer usuário) e com isto
executar código arbitrário com as mesmas permissões do usuário
executando o programa em questão.
Uma falha semelhante existe no programa tcl. A diferença é que o
caminho pesquisado para carregar bibliotecas dinâmicas é a partir do
diretório corrente. O mesmo tipo de ataque que no caso anterior é
possível dependendo do diretório a partir do qual o comando é
executado. O atacante precisaria conseguir colocar a biblioteca falsa
neste diretório.
Conectiva Linux 6.0 é vulnerável a ambos os ataques, e a versão 7.0 é
vulnerável apenas ao segundo problema.

SOLUÇÃO
É recomendado que todos os usuários desses programas façam a
atualização dos pacotes. Por questão de coerência, todos os pacotes
binários gerados a partir do pacote fonte "tcltk" estão sendo
fornecidos.

REFERÊNCIAS
1. https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=28224
2. https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=28226

INSTRUÇÕES ADICIONAIS
Usuários do Conectiva Linux 6.0 ou superior podem usar apt para fazer
atualizações de pacotes RPM:
- se a linha abaixo ainda não existir no arquivo /etc/apt/sources.list,
acrescente-a:

rpm [cncbr] ftp://atualizacoes.conectiva.com.br versão/conectiva updates

(substitua "versão" pela sua versão. Por exemplo, 7.0)

- execute: apt-get update
- seguido por: apt-get upgrade

Instruções detalhadas de uso do apt e exemplos práticos encontram-se em
http://distro.conectiva.com.br/atualizacoes/#apt

- -------------------------------------------------------------------------
Todos os pacotes listados aqui também são assinados com a chave GPG da
Conectiva. A chave, bem como instruções de como importá-la, pode ser
encontrada em http://distro.conectiva.com.br/seguranca/chave/.
Instruções para checar a assinatura dos pacotes podem ser encontradas em
http://distro.conectiva.com.br/seguranca/politica/.

- -------------------------------------------------------------------------
Todos os anúncios de atualizações são armazenados e podem ser consultados
na página http://distro.conectiva.com.br/atualizacoes/.
Instruções genéricas para atualizações são fornecidas na mesma página.

- -------------------------------------------------------------------------
A Conectiva possui uma lista pública para discutir assuntos de segurança
relacionados à distribuição. Acesse http://distro.conectiva.com.br/lista/
para obter mais informações.

- -------------------------------------------------------------------------
cadastramento: atualizacoes-anuncio-subscribepapaleguas.conectiva.com.br
cancelamento: atualizacoes-anuncio-unsubscribepapaleguas.conectiva.com.br
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.4 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE7VviY42jd0JmAcZARAtGfAKCzJIjCyuK9osFMxyXhHVgA7INyuQCgw3X8
ri2RuHjALLzgCshSTO8c3Xs=
=s20m
-----END PGP SIGNATURE-----

Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]