Avis du CERT-FR
Objet : Vulnérabilité du logiciel InPerson sous IRIX
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Accès root en local
Systèmes affectés
Tous les systèmes IRIX ayant l'outil InPerson installé.
Résumé
Un utilisateur mal intentionné peut, en utilisant une vulnérabilité de InPerson, obtenir les privilèges root.
L'exploitation de cette vulnérabilité a largement été diffusée sur internet.
Description
InPerson est un logiciel de visioconférence proposé par défaut lors de l'installation du système IRIX sur une station ou un serveur Silicon Graphix.
Un mauvais paramétrage par défaut des permissions de la commande inpview permet à un utilisateur mal intentionné d'exécuter un shell avec les privilèges de root et, par conséquent, de prendre possession de la machine.
Solution
On peut savoir si InPerson (toutes les versions de InPerson sont vulnérables) est installé en demandant au système sa version de la façon suivante :
En tant que root, taper la commande suivante :
versions -b InPerson
Le numéro de la version apparaît à la fin de la description affichée.
Si le logiciel InPerson est installé, et si vous ne l'utilisez pas, il faut le supprimer à l'aide de la commande suivante :
versions remove InPerson
Si vous utilisez InPerson sur cette station, il faut supprimer le bit SUID de la commande inpview en exécutant la commande suivante :
chmod u-s /usr/lib/InPerson/inpview
Vous pouvez en plus restreindre l'accès au logiciel à un seul groupe d'utilisateurs qui a accès localement à la station pour utiliser le logiciel, et que vous aurez créé sur la machine, grâce à la commande chgroup.
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 novembre 2000 | version initiale. |