Офигеть, не встать.

[vitus_wagner]

В первый раз вижу zero-day эксплойт к приличной операционке, выполняемый одной штатной шелловской командой. Вернее даже добавлением двух букв в стандартную команду.

Подробности (pdf)
via avva

P.S. IP-адрес я, конечно, затер. Но мог бы и не затирать - он из 10.0.0.0/8

Comments

[ktn-zoidberg.livejournal.com]

на нормальных серваках telnetа уже лет 5 минимум быть недолжно...

[vitus_wagner]

Это ни разу не сервак. Это рабочая станция.

[qehgt.livejournal.com]

интересно, что раньше было - обнаружили, что логин по telnet'у всегда проходит (а потом в исходниках нашли причину). Или исходники смотрели, и обнаружили там эту бяку?

I couldn't agree more

[lodin]

Только звери об этом не знают, они неграмотные (с).

На LOR-е обсуждалось, что иногда (а) требуют телнет, потому что он в бумажке записан (б) инфраструктура завязана на телнет.

[b-a-t.livejournal.com]

Не всегда, а с -f.

[qehgt.livejournal.com]

Не надо занудствовать, это ж и так понятно.

[http://users.livejournal.com/_nik_/]

В 5.9 не воспроизвелось :o(

[asphyx-lj.livejournal.com]

А казалось бы, просто взять, да проверить, есть ли такой юзер...

[t-mike.livejournal.com]

и telnets тоже?

[blacklion.livejournal.com]

А если есть -- это нормально без пароля пускать, да?

[michaelselehov.livejournal.com]

А у тебя получилось? Я на наших компах воспроизвести не смог...

[blacklion.livejournal.com]

Заходи -- покажу.

[asphyx-lj.livejournal.com]

Юзер с именем "-fvitus"? Сомневаюсь, что такой будет :)

Кстати, NetKit'овский telnetd просто делает вот так:

if (getenv("USER")) {
  addarg(&avs, getenv("USER"));
  if (*getenv("USER") == '-') {
    write(1,"I don't hear you!\r\n",19);
    syslog(LOG_ERR,"Attempt to login with an option!");
    exit(1);
  }
}

Так что ничто, начинающееся с "-" не подсунешь.

[feldgendler.livejournal.com]

Правильное решение -- использовать -- (два минуса), когда передаёшь параметры утилитам. В данном случае telnetd зовёт, условно говоря, "login $username", а надо "login -- $username".\

Проверять наличие юзеров -- не telnetd забота. Этим как раз занимается login.

[asphyx-lj.livejournal.com]

Да, только не все login'ы такую нотацию понимают. Линуксовый, из пакета shadow, -- не понимает. Как вариант -- отучить login понимать запись -fuser, т.е. одним параметром.

[feldgendler.livejournal.com]

В случае, когда login не понимает "--" (это можно проверить в configure), можно просто запрещать имена пользователей, начинающиеся с минуса, так как не существует безопасного способа передать их в login.

[asphyx-lj.livejournal.com]

На каком уровне? В случае netkit'а, как раз такая проверка и происходит в самом telnetd (см. выше).

[feldgendler.livejournal.com]

Да, на уровне telnetd, конечно.

[blacklion.livejournal.com]

Юзер с именем "-fvitus"? Сомневаюсь, что такой будет :)
Юзера с именем vitus. Как вы понимаете, можнов писать любого (root'а, правда пошлют). Но любым существующим пользователем можно зайти без пароля.
Это уже огроменная дыра.

[blacklion.livejournal.com]

Да, дыра там глупейшая в in.telnetd, конечно. Тягущаяся еще с 4.4BSD, но на всех остальных системах заткнутая.

[applesin07.livejournal.com]

Шрифт в терминале какой?

[vitus_wagner]

Болховитяновский. -rfx-fixed-medium-r-normal--15-*-*-*-*-*-koi8-r

[cnst.livejournal.com]

а когда её во всес других системах исправили, интересно?

В OpenBSD, например, уже вообще telnetd давно как нет. ;)

[asphyx-lj.livejournal.com]

А очень на Terminus похож :)

[asphyx-lj.livejournal.com]

Пошлют как раз не root'а, а любого обычного юзера при попытке сделать login -f. Так что само по себе это ещё не дыра. Просто, когда login вызывается из-под демона, пущенного от root, или враппера с suid, надо быть аккуратнее.

[vitus_wagner]

Я во всех случаях, кроме верстки (и просмотра html, что есть частный случай верстки) предпочитаю пользоваться не масштабируемыми, а растровыми шрифтами.

[dmitrmax.livejournal.com]

Мне казалось, что Terminus ни разу не масштабируемый...

[vitus_wagner]

И правда. А я почему-то думал, что он ttf.

[asphyx-lj.livejournal.com]

Дык растровее просто некуда :)

[everard-took.livejournal.com]

Да-да-да, юниксы принципиально и по сути своей безопаснее виндов :)