RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade no in.telnetd no Solaris

Alerta do CAIS 20070212

[CAIS, 12.02.2007-11:48, revisão 01]

O CAIS gostaria de alertar sobre a divulgação de um exploit "zero day" que afeta o serviço Telnet (in.telnetd) das versões 5.10 e 5.11 do sistema operacional Sun Solaris. O termo "zero day" se refere a um código malicioso recém criado e pouco divulgado que explora uma vulnerabilidade ainda não corrigida.

A vulnerabilidade está presente no daemon in.telnetd, responsável pelo serviço Telnet, que procura por um parâmetro especifico na conexão de login, permitindo o acesso sem senha a qualquer usuário do sistema, incluindo o usuário "root".

O daemon precisa estar sendo executado pelo usuário root (muito comum) para que este processo de login sem autenticação possa ocorrer. Um ataque bem sucedido daria a um atacante o controle total sobre o sistema.

Sistemas afetados:

• Sun Solaris 5.10
• Sun Solaris 5.11

Correções disponíveis:

Não há correções disponíveis no momento. Entretanto, existem duas maneiras de se mitigar a vulnerabilidade:

• Desabilitar o serviço Telnet (in.telnetd). Isto pode ser feito pelo seguinte comando:
  $ svcadm disable telnet
   
• Outra maneira de desabilitar o serviço:
  $ inetadm -m svc:/network/telnet:default exec="/usr/sbin/in.telnetd -a user"
   
• Limitar os endereços IP que podem se comunicar com o servidor.

Lembre-se de que Telnet é um serviço que realiza autenticação em texto puro, ou seja, as credenciais de acesso transitam sem proteção criptográfica pela rede. Outros serviços que têm as mesmas características são rlogin e FTP. O CAIS recomenda o uso de serviços de login remoto mais seguros, como SSH.

Mais informações:

• SANS Internet Storm Center - Another good reason to stop using telnet
• [Full-disclosure] "0day was the case that they gave me"
• SunOS 5.10/5.11 in.telnetd Remote Exploit by Kingcope
• SunSolve - Security Resources
• CERT Advisory CA-1994-01 Ongoing Network Monitoring Attacks

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais