Le CERT dédié à la communauté Industrie, Services et Tertiaire française

Accès membres [english version]

ACCUEIL PRESENTATION RESSOURCES CONTACTS FAQ RECHERCHER

Ver sous Solaris 10 et 11

Avis et Alertes publics Articles du Cert-IST Liens utiles Presse - Evénements Version imprimante		Accueil | Ressources | Avis et Alertes publics | Alertes Référence : CERT-IST/AL-2007.003 Version : 1.2 Date de la version : 07 Mars 2007 Classification de la vulnérabilité Risque : Très élevé Conséquence : Prise de contrôle du système Niveau de confiance : Faille officielle Niveau de connaissance de l'attaquant : Débutant Moyen nécessaire à l'attaquant : Accès distant (sans compte) sur un service standard Information sur le(s) système(s) impacté(s) Plate(s)-forme(s) impactée(s) : Systèmes Solaris 10 et 11 Logiciel(s) impacté(s) : Démon "telnetd" Liste des produits impactés Description Contexte de publication : Cette alerte fait suite à la confirmation par Sun de la présence sur Internet d'un ver exploitant la vulnérabilité du démon "telnetd" (Cf. alerte  CERT-IST/AL-2007.003  et avis  CERT-IST/AV-2007.061 ). Sun met à disposition de la communauté un script permettant de nettoyer un système infecté (cf. section "Solution"). Nature du problème : Un ver exploitant pour se propager la vulnérabilité du démon "telnetd" des système Solaris 10 et 11 a été détecté sur Internet. Une fois installé, ce ver tente d'ouvrir une porte dérobée ("backdoor") sur le système ainsi infecté. Nota : Le Cert-IST a constaté la présence de ce ver en France. Contexte technique : La version Solaris 11 est la version Solaris en cours de développement, mais qui peut être néanmoins obtenue au travers du programme "Solaris Express". Diagnostic : Pour vérifier si un système Solaris 10 ou 11 est infecté : 1 - Exécuter la commande suivante : $ ls -la /var/adm/wtmpx si les permissions sont :  -rw-r--rw-  1 adm adm 1116 Feb 28 12:03 wtmpx le système peut être infecté. 2 - Exécuter la commande suivante : $ ls -la /var/adm/sa si un répertoire nommé  .adm  est présent le système est probablement infecté. 3 - Si les fichiers suivants sont présents sur le système, l'infection est fortement probable.  /var/adm/.profile /var/spool/lp/.profile  Solution 01 - Appliquer les correctifs de Sun concernant la vulnérabilité du démon "telnetd" Sparc Intel Solaris 10 120068-02 120069-02 Correctifs de Sun http://sunsolve.sun.com/securitypatch 02 - Palliatifs temporaires pour la vulnérabilité du démon "telnetd" Afin de limiter le risque d'attaque, les palliatifs suivants existent : Désactiver le démon "telnetd" : svcadm disable telnet Filtrer le port 23 sur les équipements à proximité des serveurs Solaris vulnérables ou à l'entrée du réseau d'entreprise (sur la connexion Internet) Durcir l'authentification sur le démon "telnetd" : inetadm -m svc:/network/telnet:default exec="/usr/sbin/in.telnetd -a user" 03 - Script de Sun pour nettoyer un système Solaris 10 ou 11 infecté par le ver Script de Sun http://blogs.sun.com/security/resource/inoculate.local Identifiant(s) du problème CVE: CVE-2007-0882 Documentation additionnelle Alerte Cert-IST CERT-IST/AL-2007.002 du 12 février 2007 https://wws.cert-ist.com/fast-cgi/AL/Alerte.cgi?lang=fra&Format=HTML&Alias=cert-ist_al-2007_002 Avis de sécurité de ARBOR Networks du 27 février 2007 http://asert.arbornetworks.com/2007/02/solaris-telnet-scanning-possible-worm Avis de sécurité de Sun 102802 du 12 février 2007 http://sunsolve.sun.com/search/document.do?assetkey=1-26-102802-1 Avis de sécurité du Cert-IST CERT-IST/AV-2007.061 du 13 février 2007 https://wws.cert-ist.com/fast-cgi/AV/Avis.cgi?lang=fra&ref=CERT-IST/AV-2007.061 Document de Trend Micro concernant le ver Wanuk http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=ELF%5FWANUK%2EA Documents de F-Secure concernant le ver Wanuk et le cheval de Troie Wanukdoor http://www.f-secure.com/v-descs/worm_solaris_wanuk_a.shtml http://www.f-secure.com/v-descs/backdoor_solaris_wanukdoor_a.shtml Documents de NAI concernant le ver "Wanuk" et le cheval de Troie "Wanukdoor" http://vil.nai.com/vil/content/v_141605.htm http://vil.nai.com/vil/content/v_141604.htm Documents de Sophos concernant le ver "Froot" http://www.sophos.com/security/analyses/unixfroota.html Documents de Symantec concernant le ver Wanuk et le cheval de Troie Wanukdoor http://www.symantec.com/enterprise/security_response/writeup.jsp?docid=2007-022810-3637-99 http://www.symantec.com/enterprise/security_response/writeup.jsp?docid=2007-022810-0202-99 Information de Sun du 28 février 2007 http://blogs.sun.com/security/entry/solaris_in_telnetd_worm_seen Historique Version Commentaire Date 1.0 Création de l'alerte 28 Février 2007 1.1 Documents d'éditeurs d'anti-virus (NAI, Symantec, Sophos) et avis de sécurité de l'US-CERT 01 Mars 2007 1.2 Documents de F-Secure et Trend Micro 07 Mars 2007

Copyright © 1999-2008 Cert-IST | Mentions légales | Plan du site