Aviso de seguridad de Debian

modutils -- explotación local

Fecha del informe:

20 de nov de 2000

Paquetes afectados:

modutils

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En el diccionario CVE de Mitre: CVE-2000-1095.

Información adicional:

Sebastian Krahmer encontró un problema en la utilidad modprobe que podía ser explotada por usuarios locales para ejecutar comandos arbitrarios como root si la máquina estaba funcionando con un núcleo con kmod activado.

La característica kmod del núcleo permite al núcleo cargar módulos del núcleo dinamicamente si la funcionalidad requerida no está presente en el núcleo en ejecución. Hace esto al invocar el comando modprobe con el módulo requerido como parámetro. Este parámetro puede estar influenciado por los usuarios, por ejemplo, abriendo archivos no existentes actualmente en un sistema de ficheros devfs, o intentando acceder a un interfaz de red no existente. Debido a que modprobe no escapaba adecuadamente metacaracteres de la shell al llamar a comandos externos ni comprobaba si los últimos parámetros eran una opción en lugar del nombre de un módulo, los usuarios pueden causar que se ejecuten comandos arbitrarios.

Esto ha sido reparado en la versión 2.3.11-12 y le recomendamos que actualice su paquete modutils inmediatamente.

Arreglado en:

Debian 2.2 (potato)

Fuentes:: http://security.debian.org/dists/stable/updates/main/source/modutils_2.3.11-12.diff.gz; http://security.debian.org/dists/stable/updates/main/source/modutils_2.3.11-12.dsc; http://security.debian.org/dists/stable/updates/main/source/modutils_2.3.11.orig.tar.gz
alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/modutils_2.3.11-12_alpha.deb
arm:: http://security.debian.org/dists/stable/updates/main/binary-arm/modutils_2.3.11-12_arm.deb
i386:: http://security.debian.org/dists/stable/updates/main/binary-i386/modutils_2.3.11-12_i386.deb
m68k:: http://security.debian.org/dists/stable/updates/main/binary-m68k/modutils_2.3.11-12_m68k.deb
powerpc:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/modutils_2.3.11-12_powerpc.deb
sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/modutils_2.3.11-12_sparc.deb