[Linux-Biella] Vulnerabilita': pericoli per email Linux

[Federico Villa]

Copio & Incollo il testo di questa segnalazione...

FEderico



RED HAT LINUX - SHARUTILS
 -------------------------

Una nuova vulnerabilita' e' stata scoperta nel sistema operativo Linux di
Red Hat in un componente che si occupa di trasformare i file binari in
semplice testo affinche' sia possibile spedirli e riceverli via email. Si
tratta di una vulnerabilita' il cui rischio e' considerato medio dal
Symantec Security Response (SSR).

Il problema e' stato scoperto in alcune versioni di Red Hat Linux. In
particolare, ad essere affetta e' una utilita' dal nome "Sharutils" che
potrebbe permettere di sovrascrivere i file o sfruttata per ottenere elevati
privilegi come utente locale.

 NEL DETTAGLIO
 -------------

La vulnerabilita' esiste nel modo in cui "uudecode" prepara il file da
spedire. Questo infatti viene generato senza alcuna verifica che si tratti
di un semplice collegamento ad un file oppure di un "pipe", un sistema che
permette di passare informazioni tra un processo e l'altro.

Se il file generato viene creato in una directory condivisa (ad esempio la
directory /temp), e' possibile per un utente locale utilizzare questa
vulnerabilita' per sovrascrivere i file esistenti o, peggio, guadagnare
privilegi piu' elevati e quindi accedere a sezioni riservate del sistema (ad
esempio la root). La gravita' del problema dipende dai diritti goduti
dall'applicazione che utilizza uuencode: in alcune situazioni, appunto, la
vulnerabilita' potrebbe essere sfruttata per guadagnare i massimi privilegi
(root).

 QUALI SISTEMI SONO A RISCHIO
 ----------------------------

Il sistema operativo Linux della Red Hat Software nelle seguenti versioni:
6.2 alpha/sparc/i386, 7.0 alpha/i386, 7.1 alpha/i386/ia64, 7.2 i386/ia64.

 COME RISOLVERE
 --------------

Red Hat ha realizzato una patch per risolvere il problema che e' possibile
scaricare dal seguente indirizzo:
http://rhn.redhat.com/errata/RHSA-2002-065.html
Si raccomanda di seguire tutte le istruzioni contenute nella pagina delle
patch.


--===ooo0 FEderico Villa 0ooo===--

      Unione Industriale Biellese
         Biella - Via Torino, 56
             13900 (BI) Italy
           Tel: 015.8483.214
        EMAIL: villa@ui.biella.it