[Generic/HP SMH] Schwachstelle in der HP System Management Homepage
RUS-CERT (Oliver Goebel)
(2007-06-19 17:41:15.695864+02)
Quelle: http://archive.cert.uni-stuttgart.de/bugtraq/2007/06/msg00223.
html
Ein Designfehler in der Hewlett-Packard System Management Homepage (HP
SMH) kann von unprivilegierten Benutzern dazu ausgenutzt werden,
administrative Privilegien zu erlangen und Manipulationen an der mit
HP SMH überwachten und gesteuerten IT-Infrastruktur vorzunehmen.
Betroffene Systeme
* HP System Management Homepage vor Version v2.1.9 unter Linux
Nicht betroffene Systeme
* HP System Management Homepage v2.1.9
Einfallstor
Unprivilegierter eDirectory-Benutzer
Angriffsvoraussetzung
* Installation von HP SMH auf Linux-Systemen innerhalb eines Novell
eDirectory (ehem. NDS) mittels HP SMH fernadministriert bzw.
überwacht werden.
* Zugriff auf ein Benutzerkonto innerhalb des eDirectory
Angriffsvektorklasse
mittelbar über eine Netzwerkverbindung
(mediately remote)
Auswirkung
Ausführung beliebigen Programmcodes auf dem beherbergenden
Rechnersystem mit root-Privilegien
(system compromise)
Typ der Verwundbarkeit
Entwurfsfehler
(design flaw)
Gefahrenpotential
hoch
(Hinweise zur [1]Einstufung des Gefahrenpotentials.)
Kontext
Die [2]HP System Management Homepage (HP SMH) ist ein web-basiertes
Softwaresystem zur Konsolidierung der Verwaltung einzelner Systeme für
HP Server unter den Betriebssystemen Linux und Microsoft Windows. HP
SMH sammelt Daten von anderer HP-Agentensoftware und ermöglicht
Administratoren die Überwachung, Steuerung und Administration der
Systeme auf denen die Software installiert ist.
Beschreibung
In Installationen, in denen HP SMH zur Steuerung von Linuxsystemen
verwendet wird, die in eine [3]Novell eDirectory Infrastruktur
eingebunden sind, kann ein nichtprivilegierter eDirectory-Benutzer
administrativen Zugriff über eine Netzwerkverbindung auf überwachte
Systeme erlangen und sie so kompromittieren.
Um Operationen mit administrativen Privilegien auf den überwachten
Systemen durchführen zu können, werden der HP SMH-Installation
root-Rechte auf dem beherbergenden Betriebssystem gewährt. Durch einen
Entwurfsfehler werden alle eDirectory-Benutzer von HP SMH als
Mitglieder der root-Gruppe eingestuft. Die Applikation erlaubt ihnen
entsprechend privilegierten Zugriff auf das beherbergende System.
In einer solchermaßen verwundbaren Installation kann ein einzelnes
kompromittiertes System zur Kompromittierung aller mit HP SMH
überwachten Linux-Systeme ausgenutzt werden.
Gegenmaßnahmen
* Installation von HP SMH v2.1.9 für Linux:
+ [4]HP System Management Homepage for Linux (x86) v2.1.9-178
+ [5]HP System Management Homepage for Linux (AMD64/EM64T)
v2.1.9-178
Vulnerability ID
* Bislang noch nicht vergeben
Weitere Information zu diesem Thema
* [6]Installationshandbuch für HP SMH
Aktuelle Version dieses Artikels
[7]http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1383
Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der
Universität Stuttgart recherchiert und zusammengestellt. Die
Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte.
Dieser Artikel darf ausschließlich in unveränderter Form und nur
zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis
veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen
an anderer Stelle ist ausdrücklich gestattet.
Copyright © 2007 RUS-CERT, Universität Stuttgart,
[8]http://CERT.Uni-Stuttgart.DE/
References
1. http://CERT.Uni-Stuttgart.DE/ticker/charta.php#Gefaehrdungsstufen
2. http://docs.hp.com/de/381372-004-de/ch01.html
3. http://en.wikipedia.org/wiki/Novell_eDirectory
4. http://h18023.www1.hp.com/support/files/server/us/download/27264.html
5. http://h18023.www1.hp.com/support/files/server/us/download/27263.html
6. http://docs.hp.com/de/381372-004-de/index.html
7. http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1383
8. http://CERT.Uni-Stuttgart.DE/
----------------------------------------------------------------------
Weitere Nachrichten: http://CERT.Uni-Stuttgart.DE/ticker/
Kommentare & Kritik bitte an Aut...@Lists.CERT.Uni-Stuttgart.DE