home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #31 / NN_1992_31.iso / spool / comp / sys / sgi / 18333 < prev    next >
Encoding:
Internet Message Format  |  1992-12-24  |  3.8 KB
  1. Path: sparky!uunet!olivea!spool.mu.edu!uwm.edu!ogicse!news.u.washington.edu!carson.u.washington.edu!dittrich
  2. From: dittrich@carson.u.washington.edu (Dave Dittrich)
  3. Newsgroups: comp.sys.sgi
  4. Subject: Should be in FAQ: Security holes in default /etc/passwd file
  5. Message-ID: <1992Dec24.193457.16465@u.washington.edu>
  6. Date: 24 Dec 92 19:34:57 GMT
  7. Sender: news@u.washington.edu (USENET News System)
  8. Organization: University of Washington
  9. Lines: 64
  10.  
  11. This should *DEFINITELY* be in the FAQ.
  12.  
  13. A recent attempt by someone at the University of California Riverside to
  14. break into one of our computer systems using several standard IRIX
  15. accounts has prompted me to post this article.  Any system administrator
  16. reading this post should carefully check their /etc/passwd file for
  17. open accounts and check your /usr/adm/SYSLOG files and output from
  18. LAST(1) for attempted/successful logins using the accounts mentioned
  19. herein.  Our site may not be the only one attacked by this person (or
  20. others).
  21.  
  22.                                --==##==--
  23.  
  24. Over the summer there was a flurry of traffic about the default
  25. /etc/passwd file distributed by SGI on their 4.0.x systems, which
  26. prompted SGI to look into the accounts and discover several security
  27. holes in SET-UID programs owned by lp (which were addressed by SGI).
  28. As of IRIX 4.0.5, the open accounts are STILL THERE.
  29.  
  30. The default /etc/passwd file includes, among other entries, the following:
  31.  
  32. lp::9:9:Print Spooler Owner:/usr/spool/lp:/bin/sh
  33. nuucp::10:10:Remote UUCP User:/usr/spool/uucppublic:/usr/lib/uucp/uucico
  34. guest::998:998:Guest Account:/usr/people/guest:/bin/csh
  35. tutor::994:997:Tutorial User:/usr/tutor:/bin/csh
  36. demos::993:997:Demonstration User:/usr/demos:/bin/csh
  37.  
  38. These entries were discovered after several systems were set up and AN
  39. SGI TECHNICIAN USED THE lp ACCOUNT TO LOG ONTO A SYSTEM TO HELP DIAGNOSE
  40. A PROBLEM on a LAN with several Indigos, AND THE TECH DIDN'T EVEN MENTION
  41. THIS TO THE ADMINISTRATOR.  The administrator had assumed that they
  42. would be secure as delivered, and didn't bother to check them.
  43.  
  44. After the original post, an SGI techie on the net replied that SGI had
  45. intended the systems to be easy to setup and use, and that it was the
  46. responsibility of the administrator to ensure that /etc/passwd entries
  47. were checked, and that the IRIX Site Administrator's Guide even points
  48. this out (see pages 8-17 and 8-18).
  49.  
  50. This post immediately caused several administrators to reply that the
  51. assumption that all systems would be put on LANs by knowledgeable and
  52. cautious system administrators was overly optimistic.  It was also
  53. pointed out that the systems did not come with the Site Administrator's
  54. Guide, but in fact required the administrator to be lucky enough to
  55. receive a card from SGI offering to SELL the manual to them, or they
  56. had to read about the manual on the net and ASK THEIR SGI REP to get
  57. them one.  After they had it, they would have to carefully read the
  58. manual, especially the section on System Security (Chapter 8) and make
  59. the connection.
  60.  
  61. Since the default /etc/passwd file still has these entries open as of
  62. 4.0.5, I would like to reiterate my displeasure with SGI for leaving
  63. these holes open.  In fact, SGI does state in the IRIX Site
  64. Administrator's Guide (p. 8-18) that the lp account should be disabled.
  65. I heartily agree with this, and would further add that the /etc/passwd
  66. file should come with this account (and the rest of the open accounts)
  67. disabled BY DEFAULT.  If you really need them, you can enable them WITH
  68. PASSWORDS when the time comes.  Until then they should be closed.
  69. Period.  I hope SGI gets the message and does this before the next
  70. release comes out, for everyone's sake.
  71.  
  72. If your 4.0.x machines are on the Internet, and you have not closed these
  73. accounts, you should do so NOW to ensure that your machines are not
  74. wide open to logins by unauthorized persons.
  75.