September 2003 - NLNOG - mailman3.nlnog.net

[sabri@bit.nl: [olympus] [pim.van.stam@nlip.nl: [Security-l] [Fwd: [o-IRT-o] sendmail feest]]]
by sabri＠cluecentral.net 17 Sep '03

17 Sep '03

---------- Forwarded message ---------- Date: Wed, 17 Sep 2003 11:19:46 +0200 (CEST) From: Michal Zalewski <lcamtuf(a)dione.ids.pl> To: bugtraq at securityfocus.com, vulnwatch at securityfocus.com, full-disclosure at netsys.com Subject: [Full-Disclosure] Sendmail 8.12.9 prescan bug (a new one) [CAN-2003-0694] Hello lists, -------- Overview -------- There seems to be a remotely exploitable vulnerability in Sendmail up to and including the latest version, 8.12.9. The problem lies in prescan() function, but is not related to previous issues with this code. The primary attack vector is an indirect invocation via parseaddr(), although other routes are possible. Heap or stack structures, depending on the calling location, can be overwritten due to the ability to go past end of the input buffer in strtok()-alike routines. This is an early release, thanks to my sheer stupidity. -------------- Attack details -------------- Local exploitation on little endian Linux is confirmed to be trivial via recipient.c and sendtolist(), with a pointer overwrite leading to a neat case of free() on user-supplied data, i.e.: eip = 0x40178ae2 edx = 0x41414141 esi = 0x61616161 SEGV in chunk_free (ar_ptr=0x4022a160, p=0x81337e0) at malloc.c:3242 0x40178ae2 <chunk_free+486>: mov %esi,0xc(%edx) 0x40178ae5 <chunk_free+489>: mov %edx,0x8(%esi) Remote attack is believed to be possible. ---------------- Workaround / fix ---------------- Vendor was notified, and released an early patch attached below. There are no known workarounds. Index: parseaddr.c =================================================================== RCS file: /cvs/src/gnu/usr.sbin/sendmail/sendmail/parseaddr.c,v retrieving revision 1.16 diff -u -r1.16 parseaddr.c --- parseaddr.c 29 Mar 2003 19:44:01 -0000 1.16 +++ parseaddr.c 16 Sep 2003 17:37:26 -0000 @@ -700,7 +700,11 @@ addr[MAXNAME] = '\0'; returnnull: if (delimptr != NULL) + { + if (p > addr) + p--; *delimptr = p; + } CurEnv->e_to = saveto; return NULL; } -- ------------------------- bash$ :(){ :|:&};: -- Michal Zalewski * [http://lcamtuf.coredump.cx] Did you know that clones never use mirrors? --------------------------- 2003-09-16 21:18 -- -- Met vriendelijke groet, __________________ Sabri Berisha /\ ___/ SAB666-RIPE /- \ _/ Business Internet Trends BV http://www.bit.nl/~sabri /--- \/ __________________ _______________________________________________ Olympus mailing list ----- End forwarded message ----- -- Met vriendelijke groet, __________________ Sabri Berisha /\ ___/ SAB666-RIPE /- \ _/ Business Internet Trends BV http://www.bit.nl/~sabri /--- \/ __________________

1 0

Cisco?
by erik＠is.nl 09 Sep '03

09 Sep '03

> Dat Junipers het _wel_ in hardware doen dus. De forwarding wordt in hw gedaan. klopt. Nadat de Protocols de Routing table hebben geparsed, een subset wordt dan in de forwarding table gezet en deze is dan in de PFE gezet. Update's etc.. worden door de RE in de PFE gezet.. niks hardware .. Geen RE = geen nieuwe beslissingen meer.. Dat lijkt mij net zoveel in hw als in de Extreme's. Als je een crash van een SMM zouden hebben, zou de hardware nogsteeds alles blijven forwarden. ( been there, seen it ;-/ ) Alle BGP Peers zo dood als wat, maar de hardware bleef vrolijk doorlopen.. en aangezien de routes door een andere switch nog steeds ge-adverteerd werden, kwam het verkeer gewoon via een andere kant binnen, maar ging het nog steeds via de 'oude' weg naar buiten, bij gebrek aan ASIC's update. Ik heb in Mountaint View op de 5 day Juniper training de trainer een RE uit een M40 zien halen, waardoor er niet meer dan 2 packets verloren gingen.. impressive .. en zeker zoveel toen hij die RE er weer in stak.. > Vind je? Ik kan me het debacle met Scarlet nog goed herinneren, waar > Extreme uiteindelijk een Juniper heeft neerzet omdat de Extreme die ze > hadden aangeboden niet deed wat beloofd was. Dat is krap aan een jaar > geleden. Het debacle met Scarlet ken ik vrij goed.. De firmware met de oplossing van het probleem was op dat moment al beschikbaar, maar door politiek bij hun intern en dingen in hun config wat niet als best-practice gezien wordt en geen standaard change policy maar een 'ad-hoc laten we wat wijzigen vandaag' policy is toen door Extreme besloten tijdelijk een Juniper M5 in te zetten. De oplossing in de interim-release is later ook in de main-stream code meegenomen. Sterker nog ... De Juniper M5 heb ik er toen zelf in opdracht van Extreme neergezet en ge-installeerd.. Met vriendelijke groeten, Erik Bais -------- I S - I N T E R N E D - S E R V I C E S - B V -------- domeinregistratie - webhosting - colocating - dedicated servers www.is.nl - info at is.nl - T: 0299-476185 Gorslaan 18 - 1441 RG - Purmerend ---------------------------------------------------------------

12 32

Cisco?
by erik＠is.nl 09 Sep '03

09 Sep '03

I would be more than interested in the amount of new destinations the different vendors can sustain with their hardware. I've seen the tests like this in the Juniper poc lab and I'm very keep to see something like this on the Alpine's / BD's. I've been told by Luuk from Extreme that he would like to see some tests like this as well and if we needed some kit for the test he would see where he could help out. ( alpine / BD / ixia in the lab that sort of things..) It might also be a good moment to ask them how they handle this in hardware, instead of wild guessing how it's done. Met vriendelijke groeten, Erik Bais -------- I S - I N T E R N E D - S E R V I C E S - B V -------- domeinregistratie - webhosting - colocating - dedicated servers www.is.nl - info at is.nl - T: 0299-476185 Gorslaan 18 - 1441 RG - Purmerend ---------------------------------------------------------------

3 2

Cisco?
by alex＠bit.nl 09 Sep '03

09 Sep '03

Hi, http://noc.bit.nl/vendors/ Ik stel voor dat we weer wat gaan borrelen op het moment dat Cisco van z'n absolute meerderheid af is. -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

5 5

Cisco?
by alex＠bit.nl 09 Sep '03

09 Sep '03

On Mon, 8 Sep 2003, Boudewijn Visser wrote: > Of die forwarding lookup daarna door een min of meer general purpose > processor dan wel een special purpose processor (aka 'asic') gedaan wordt > maakt het verschil niet. Behalve dan dat het geen zin heeft om de zooi te 'cachen' als je zonder noemenswaardige vertraging een lookup per packet kan doen. > Jammer voor een aantal 'L3 switch' vendors dat Internet backbone traffic > (en pathologische gevallen als portscans) niet passen bij een gecached model. Inderdaad. Hoe je 't ook wendt of keert, je wilt een doos die vlotte route lookups kan doen. Zo vlot dat je geen 'cacheing' nodig hebt als lapmiddel om hem in bepaalde gevallen toch te laten overleven. -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

3 8

Cisco?
by bvisser-nlnog＠xs4all.nl 08 Sep '03

08 Sep '03

> On Mon, 8 Sep 2003 at 17:06 +0200, Boudewijn Visser wrote: > >> > "Wij doen niet aan default gateways" - anonymous engineer bij een DSL >> > klant. >> >> Goh, BGP met een DLS klant ;-) ? > > Heeft jouw 827 dan geen 128MB ? > Die (wel, als ik een 827 zou hebben dan) niet, inderdaad. Maar een bridgend modem + zebra/quagga PC zou natuurlijk kunnen, voor de enthousiaste thuis netwerker. (nee, ik heb ook gewoon een default gateway) Boudewijn

1 0

aganda tech-meeting ?
by nils.swart＠attorn.nl 08 Sep '03

08 Sep '03

Allen, misschien kijk ik totaal op de verkeerde plaats, maar als ik de meeting agenda voor de ams-ix erbij pak (http://www.ams-ix.net/news/agenda.html) heb ik alleen oude data. Op de agenda van de 18de meeting stond punt 6 'Next Meeting', maar in de minutes is daar niets over terug te vinden. En op de generieke members page (http://www.ams-ix.net/members/index.html) staat onderaan wel een vermelding '19th tech meeting' maar geen datum. Historisch gezien is het volgens mij de donderdag tijdens de RIPE meeting week, dus a.s. donderdag ? Dat krijg je er van als je 1 keertje er niet bij bent.. :) Greets, Nils Swart nils.swart at attorn.nl

8 12

Cisco?
by erik＠is.nl 08 Sep '03

08 Sep '03

> Jij durft.. Ach .. wij draaien ook ons hele Shared hosting platform op Windows. Dat heb ik wel vaker gehoord. Route lookups in de Route-engine van een Juniper wordt toch ook door software gedaan.. So what's your point ? De discussie of een L3-switch een switch is of een router .. ach .. dat ligt aan de config die je er in zet imho. > Ik zou ze niet als router inzetten op het Internet. Ik moet zeggen dat ik ook in het begin ( rond 2000 ) hier enigsinds sceptisch tegen over stond, maar het heeft zich echt wel bewezen kan ik je vermelden.. En ja, het is wellicht beter om alleen maar Junipers neer te zetten of soort gelijke devices, maar daar zijn de investeringen dan ook naar. De kosten van 1 GBic interface voor Juniper, koop ik een volledige Alpine + sofware en support voor. En beide hebben hun voors en tegens.. Het ligt eraan wat je ermee doet of het qua functionaliteit mogelijk is. Anyway .. de post is nu wel totally off-topic geworden ... /hmmmm Met vriendelijke groeten, Erik Bais -------- I S - I N T E R N E D - S E R V I C E S - B V -------- domeinregistratie - webhosting - colocating - dedicated servers www.is.nl - info at is.nl - T: 0299-476185 Gorslaan 18 - 1441 RG - Purmerend ---------------------------------------------------------------

4 4

Cisco?
by erik＠is.nl 08 Sep '03

08 Sep '03

Zijn de Extreme's in opkomt ? ;-) Ik voorzie een 20 % increase voor de Extreme's binnenkort.. zodra AMS-IX een 2de switch in TC2 heeft en wij een 2de verbinding nemen ... Met vriendelijke groeten, Erik Bais -------- I S - I N T E R N E D - S E R V I C E S - B V -------- domeinregistratie - webhosting - colocating - dedicated servers www.is.nl - info at is.nl - T: 0299-476185 Gorslaan 18 - 1441 RG - Purmerend --------------------------------------------------------------- > -----Original Message----- > From: Alex Bik [mailto:alex at bit.nl] > Sent: Monday, September 08, 2003 12:29 PM > To: nlnog at nlnog.net > Subject: [Nlnog] Cisco? > > > Hi, > > http://noc.bit.nl/vendors/ > > Ik stel voor dat we weer wat gaan borrelen op het moment dat Cisco van > z'n absolute meerderheid af is. > > -- > Met vriendelijke groet, > Alex Bik, > BIT BV > AB2298-RIPE > > _______________________________________________ > NLNOG mailing list > NLNOG at nlnog.net > http://mailman.nlnog.net/mailman/listinfo/nlnog > >

4 5

As8211 borken
by sabri＠cluecentral.net 05 Sep '03

05 Sep '03

On Fri, Sep 05, 2003 at 09:22:32PM +0200, Arjan wrote: Hi, > Ik heb al uren grote problemen om mijn transit provider er van te > overtuigen dat er een probleem bij hen ligt waardoor ik www.rabobank.nl > niet kan bereiken via hen. Ik krijg die prefix (as8211) via 702 van hen. > Zij krijgen die route van 702 direct vanaf amsix, maar hun amsix doos kan > 702's doos niet pingen (maar krijgt de route wel). Bizar genoeg kan IK die > doos vanuit een deel van mijn netwerk ook niet pingen, als het spaak > loopt, loopt het spaak op mijn transits m6 doos. > > Is er iemand die AS8608 kan voorzien van AS8211, als test en > noodoplossing? Je mag het wel ff statisch routeren naar .35 en/of .200. Als je het liever via BGP hebt moet ik ff tiepen. Laat maar weten.. -- Sabri Berisha "I route, therefore you are" "Wij doen niet aan default gateways" - anonymous engineer bij een DSL klant.

1 0