Security September 1995

security@mail.agh.edu.pl

13 participants
27 discussions

Re: Elm 2.4 - patch
by Tomasz Surmacz 30 Sep '95

30 Sep '95

Szymon napisal: > > Sprawe zalatwiloby, gdyby elm byl laskaw sprawdzac, czy plik (symlink w tym > > wypadku) juz nie istnieje. Czy czasem aktualna wersja tego nie robi? > > > > Szymon a ja na to: > O ile dobrze pamietam, to chyba jedynym dzialajacym w tym przypadku > wyjsciem jest open("/tmp/jakis-plik" , O_EXCL|O_CREAT, 0600), gdyz ta > funkcja otworzy nam nowy plik do zapisu, ale jesli plik (np. symlink) > juz istnial (chocby nawet pokazujacy "w proznie"), to zwroci blad. A Oto patch do elm-2.4pl24me7, ktory wlasnie wyprodukowalem i sprawdzilem, ze dziala, tzn. w wypadku podlozenia przez kogos symlinka dostaniemy komunikat: What's this? The temp folder already exists?? Ahhhh... I give up. i elm zakonczy dzialanie... Pewnie jeszcze trzeba by napisac lepszy komunikat (w stylu "sprawdz plik /tmp/mbox.USER i go usun lub zglos ten fakt administratorowi systemu", albo jakos tak... - --- src/newmbox.c.orig Thu Aug 3 03:08:43 1995 +++ src/newmbox.c Sat Sep 30 20:12:53 1995 @@ -406,7 +406,9 @@ one if possible and only read in newly added messages. **/ + int temp_fd; FILE *temp; + struct header_rec *current_header = NULL; char buffer[VERY_LONG_STRING], tbuffer[VERY_LONG_STRING], *c; long fbytes = 0L, line_bytes = 0L, content_start = 0L, @@ -426,9 +428,11 @@ if (folder_type == SPOOL) { lock(INCOMING); /* ensure no mail arrives while we do this! */ if (! add_new_only) { - - if (access(cur_tempfolder, ACCESS_EXISTS) != -1) { + if ( (access(cur_tempfolder, ACCESS_EXISTS) != -1) || + ((temp_fd=open(cur_tempfolder, O_RDWR|O_CREAT|O_EXCL, 0600)) < 0) ) { /* Hey! What the hell is this? The temp file already exists? */ /* Looks like a potential clash of processes on the same file! */ + /* TS: or if open() failed - potential security problem (symlink) */ fflush (mailfile); @@ -441,7 +445,7 @@ "Ahhhh... I give up.")); silently_exit(); /* leave without tampering with it! */ } - - if ((temp = fopen(cur_tempfolder,"w")) == NULL) { + if ((temp = fdopen(temp_fd,"w")) == NULL) { fflush (mailfile); @@ -460,7 +464,7 @@ } copyit++; (void) elm_chown(cur_tempfolder, userid, groupid); - - chmod(cur_tempfolder, 0700); /* shut off file for other people! */ + chmod(cur_tempfolder, 0600); /* shut off file for other people! */ } else { /* - -- _________ (_ _' __) Tomasz R. Surmacz * Work:(071)202489, tsurmacz(a)asic.ict.pwr.wroc.pl | (__ \ http://www.ict.pwr.wroc.pl/~tsurmacz/ Home: ts(a)papaja.wroc.apk.net |__(____/ For PGP key finger tsurmacz(a)asic.ict.pwr.wroc.pl *----* irc: TomekS

1 0

Re: Elm 2.4 - patch
by Jerzy Kedra 30 Sep '95

30 Sep '95

>No zaraz, przeciez jak zrobie takiego linka, to plik >/tmp/root.mbox bedzie istniec i elm sie w ogole nie odpali, >piszac, ze juz jeden egzemplarz mojego elma dziala i zebym >skasowal /tmp/root.mbox, jesli to przez pomylke. Niezupelnie, bo /tmp/root.mbox to link ktory wskazuje na katalog root'a , i jezeli tam nie ma wskazywanego pliku to wszystko jest okay. Elm sie odpali. - -- - -- Jerzy Kedra, Uczelniane Centrum Informatyki, AGH Krakow, Poland - -- PGP Mail Welcome

1 0

Re: Elm 2.4 - patch
by Tomasz Surmacz 29 Sep '95

29 Sep '95

> > // No zaraz, przeciez jak zrobie takiego linka, to plik > // /tmp/root.mbox bedzie istniec i elm sie w ogole nie odpali, > // piszac, ze juz jeden egzemplarz mojego elma dziala i zebym > // skasowal /tmp/root.mbox, jesli to przez pomylke. > > Nie, nie, to nie tak. Symlink jest 'przezroczysty' dla programow, > widza one to na co on wskazuje. Jezeli na nic nie wskazuje to nic nie Zalezy jak to sprawdzaja... open(), fopen() itd. - tak, ale link w proznie a brak pliku to inne kody bledow stat() - tak (bada plik, a nie link) lstat() - NIE! - bada sam link, a nie plik, na ktory on wskazuje unlink() - NIE! - usuwa link, a nie plik > widza. Wlasciwie nie wiem nawet jak mozna sprawdzic czy plik jest > symlinkiem czy nie... Ktos wie ? lstat() Tomek - -- _________ (_ _' __) Tomasz R. Surmacz * Work:(071)202489, tsurmacz(a)asic.ict.pwr.wroc.pl | (__ \ http://www.ict.pwr.wroc.pl/~tsurmacz/ Home: ts(a)papaja.wroc.apk.net |__(____/ For PGP key finger tsurmacz(a)asic.ict.pwr.wroc.pl *----* irc: TomekS

1 0

Re: Elm 2.4 - patch
by Jan Rychter 29 Sep '95

29 Sep '95

// No zaraz, przeciez jak zrobie takiego linka, to plik // /tmp/root.mbox bedzie istniec i elm sie w ogole nie odpali, // piszac, ze juz jeden egzemplarz mojego elma dziala i zebym // skasowal /tmp/root.mbox, jesli to przez pomylke. Nie, nie, to nie tak. Symlink jest 'przezroczysty' dla programow, widza one to na co on wskazuje. Jezeli na nic nie wskazuje to nic nie widza. Wlasciwie nie wiem nawet jak mozna sprawdzic czy plik jest symlinkiem czy nie... Ktos wie ? (czy tez moze to bylo w tej latce ktorej sie nie przyjrzalem :-)) Janek. [---------------------------------------------------------------------------] Jan Rychter, <jwr(a)itc.pw.edu.pl> http://www.itc.pw.edu.pl/~jwr IRC: Youhou

1 0

Re: Elm 2.4 - patch
by rmikke＠mofnet.gov.pl 29 Sep '95

29 Sep '95

Tomasz Surmacz: | |> Ojejku, proste. Zalozmy, ze elm zaklada temporary mbox pod nazwa |> "/tmp/USER.mbox". Przychodzi teraz wstretny wlamywacz i zaklada link |> symboliczny |> |> ln -s /.rhosts /tmp/root.mbox |> |> i wysyla do roota mail o formacie normalnego pliku .rhosts |> |> Przychodzi sobie root, pisze 'elm', i bingo, elm zaklada temporary |> mbox, myslac, ze pod nazwa "/tmp/root.mbox", a w rzeczywistosci |> "/.rhosts". Wlamywacz tylko na to czeka... | |Dziala, pod warunkiem, ze /.rhosts nie istnieje. Ale jesli /.rhosts |nie istnieje, to oczywiscie mozna probowac atakowac inne pliki: |/.cshrc itd. itp. Dlatego TRZEBA ten blad poprawic. No zaraz, przeciez jak zrobie takiego linka, to plik /tmp/root.mbox bedzie istniec i elm sie w ogole nie odpali, piszac, ze juz jeden egzemplarz mojego elma dziala i zebym skasowal /tmp/root.mbox, jesli to przez pomylke. Ryszard Mikke A poza tym uwazam, ze nalezy obnizyc podatki - -- #include <disclaimer.h> Powyzsze opinie NIE MUSZA byc zgodne z opiniami mojego pracodawcy. The opinions above are NOT NECESSARILY the opinions of my employer #include <address.h> Internet: rmikke(a)mofnet.gov.pl & rmikke(a)mimuw.edu.pl http://bull.mimuw.edu.pl/~rmikke Bitnet: rmikke@plearn

1 0

Re: Elm 2.4 - patch
by Tomasz Surmacz 28 Sep '95

28 Sep '95

> >>>>>> "Jan" == Jan Rychter <jwr(a)itc.pw.edu.pl> writes: > > > >Jan> Oczywiscie > > > >Jan> touch ~root/.rhosts > >Jan> chmod 400 ~root/.rhosts > > > >Jan> rozwiazuje problem. > > > >Nope. > > > >root moze pisac na kazdy plik, ZAWSZE. zadne chmod tego nie zalatwi. > > > > MJ W tym przypadku akurat elm sie na tym "przewroci", ale nie jest to rozwiazanie problemu, bo trzeba by KAZDEMU UZYTKOWNIKOWI pozakladac pliki takie jak .rhosts, .cshrc, .tcshrc, .profile, .login, .logout (!!!) i mase innych (Jak trzeba, to i za pomoca .Xmodmap mozna atakowac) A co z /etc/host.equiv? Ile jeszcze takich nieistniejacych plikow o specjalnym znaczeniu da sie znalezc... > Sprawe zalatwiloby, gdyby elm byl laskaw sprawdzac, czy plik (symlink w tym > wypadku) juz nie istnieje. Czy czasem aktualna wersja tego nie robi? > > Szymon Ale tu pojawia sie odwieczny problem z tzw. "race condition" - co bedzie, gdy elm sprawdzi, ze nie ma symlink-a, w tym momencie sterowanie dostanie inny proces (jak sa 2 procesory lub wiecej, to nawet elm nie musi zostac rzerwany), ktory podlozy swinie w postaci symlinka, a elm otworzy plik w przekonaniu, ze wszystko jest ok. O ile dobrze pamietam, to chyba jedynym dzialajacym w tym przypadku wyjsciem jest open("/tmp/jakis-plik" , O_EXCL|O_CREAT, 0600), gdyz ta funkcja otworzy nam nowy plik do zapisu, ale jesli plik (np. symlink) juz istnial (chocby nawet pokazujacy "w proznie"), to zwroci blad. A jak juz otworzy, to chocby nam ktos cuda wyczynial z usuwaniem pliku i podkladaniem innego, o tej samej nazwie, to nas to nie rusza, bo jedyna wazna rzecza jest deskryptor pliku, ktory juz mamy (Mozna go przerobic na fd z biblioteki STDIO za pomoca fdopen() ). Prawa dostepu '0600' zapewniaja natomiast, ze nikt inny w miedzyczasie nie wykona open() i nie bedzie "podgladal" co my w tym pliku robimy, ani nic z tym plikiem nie zrobi. Czy moze o czyms waznym zapomnialem i jednak nie da sie w UNIXie bezpiecznie otworzyc pliku??? Tomek - -- _________ (_ _' __) Tomasz R. Surmacz *---* Work:(071)202489, tsurmacz(a)ict.pwr.wroc.pl | (__ \ http://www.ict.pwr.wroc.pl/~tsurmacz/ Home: ts(a)papaja.wroc.apk.net |__(____/ For PGP key finger tsurmacz(a)asic.ict.pwr.wroc.pl *---* irc: TomekS

1 0

Re: Elm 2.4 - patch
by Tomasz Surmacz 28 Sep '95

28 Sep '95

> Ojejku, proste. Zalozmy, ze elm zaklada temporary mbox pod nazwa > "/tmp/USER.mbox". Przychodzi teraz wstretny wlamywacz i zaklada link > symboliczny > > ln -s /.rhosts /tmp/root.mbox > > i wysyla do roota mail o formacie normalnego pliku .rhosts > > Przychodzi sobie root, pisze 'elm', i bingo, elm zaklada temporary > mbox, myslac, ze pod nazwa "/tmp/root.mbox", a w rzeczywistosci > "/.rhosts". Wlamywacz tylko na to czeka... Dziala, pod warunkiem, ze /.rhosts nie istnieje. Ale jesli /.rhosts nie istnieje, to oczywiscie mozna probowac atakowac inne pliki: /.cshrc itd. itp. Dlatego TRZEBA ten blad poprawic. Tomek - -- _________ (_ _' __) Tomasz R. Surmacz * Work:(071)202489, tsurmacz(a)asic.ict.pwr.wroc.pl | (__ \ http://www.ict.pwr.wroc.pl/~tsurmacz/ Home: ts(a)papaja.wroc.apk.net |__(____/ For PGP key finger tsurmacz(a)asic.ict.pwr.wroc.pl *----* irc: TomekS

1 0

Re: Elm 2.4 - patch
by szymon 28 Sep '95

28 Sep '95

>>>>>> "Jan" == Jan Rychter <jwr(a)itc.pw.edu.pl> writes: > >Jan> Oczywiscie > >Jan> touch ~root/.rhosts >Jan> chmod 400 ~root/.rhosts > >Jan> rozwiazuje problem. > >Nope. > >root moze pisac na kazdy plik, ZAWSZE. zadne chmod tego nie zalatwi. > > MJ Sprawe zalatwiloby, gdyby elm byl laskaw sprawdzac, czy plik (symlink w tym wypadku) juz nie istnieje. Czy czasem aktualna wersja tego nie robi? Szymon

1 0

Re: Elm 2.4 - patch
by Michal.Jankowski＠fuw.edu.pl 28 Sep '95

28 Sep '95

Aha. Jesli elm sprawdza, ze ten plik juz jest, to troche co innego. Inna rzecz, ze pewnie sa inne pliki, oprocz /.rhosts, ktore sa narazone na to samo... W ogole, to przydalby sie taki system, w ktorym na /tmp nie daje sie zakladac linkow. W koncu /tmp jest przewidziany do czegos innego... MJ

1 0

Re: Elm 2.4 - patch
by Jan Rychter 28 Sep '95

28 Sep '95

Michal Jankowski napisal: // Nope. // root moze pisac na kazdy plik, ZAWSZE. zadne chmod tego nie zalatwi. - ---------------------- /users/root#elm Another elm is already reading this mail! [if this is in error then you'll need to remove '/tmp/mbox.root'] /users/root#uname -a HP-UX diago A.08.07 A 9000/730 2010464035 /users/root# - ---------------------- helios:/root# You seem to have ELM already reading this mail! You may not have two copies of ELM running simultaneously. -- Exiting -- If this is in error, then you'll need to remove the following file: /tmp/mbox.root helios:/root#uname -a Linux helios 1.2.13 #1 Thu Sep 7 17:43:34 MET DST 1995 i586 - ---------------------- Wyglada na to ze elm przynajmniej sprawdza czy moze pisac do tego pliku, co w tym przypadku w zupelnosci wystarcza. Oczywiscie nadal pozostaje problem co z innymi uzytkownikami... jwr [---------------------------------------------------------------------------] Jan Rychter, <jwr(a)itc.pw.edu.pl> http://www.itc.pw.edu.pl/~jwr IRC: Youhou

1 0

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

2009

2008

2007

2006

2005

2004

2003

2002

2001

2000

1999

1998

1997

1996

1995

Security September 1995