SGI csetup 프로그램 취약점과 대책

Security Notice

SGI csetup 프로그램 취약점과 대책

설명

  • csetup (/usr/Cadmin/bin/csetup)은 시스템과 네트워크를 설치하고 설정하기 위한 그래픽 프로그램이다. 이 프로그램은 관리자(root) 권한으로 수행하도록 되어있으나, 일부 특별한 권한을 가진 사용자도 사용할 수 있다. 이러한 특별한 권한을 가진 사용자를 위해 csetup 프로그램에 setuid가 설정이 되어있어 취약점이 생길 수 있다.
  • csetup 프로그램은 디버그 모드로 실행될 수 있으며, 이 때 로그파일이 생성된다. 그런데, csetup 프로그램은 setuid 권한으로 수행되므로 임의의 파일을 생성하거나 수정하는데 악용될 수 있다.
  • IRIX 5.x, 6.0, 6.0.1, 6.1 그리고 6.2 버전들이 이 취약점을 가지고 있으며, 시스템 최초 설치시 기본적으로 설치된다.
  • IRIX 6.3과 6.4 버전에서는 이 취약점이 해결되었다.

해결책

  1. 패치를 적용하는 방법
    SGI사에서 제공하고 있는 패치를 가져와서 설치한다.
    http://www.sgi.com/Support/Secur/patches.html
  2. 임시적인 해결 방법
    패치를 가져와서 설치하는 것이 불가능한 경우에는 다음과 같이 관리자로 로그인한 뒤 csetup 프로그램으로부터 setuid 권한을 제거한다.
    # /bin/chmod u-s /usr/Cadmin/bin/csetup
0 변경된 사항