[eside-ghost] Linux-PAM getlogin() Spoofing Vulnerability

[Pablo Garaizar Sagarminaga]

Aupa Nacho!

El Thu, 19 Jun 2003 11:56:50 +0200
Jose Ignacio Sanchez Martin <sanchez@osha.eu.int> comentaba:

> Mnnn no entiendo el exploit. Que hacen exactamente estas 2 ordenes?
> 
> $ ln /dev/tty tty1
> $ bash < tty1
> 
> Alguien que lo explique?

Parece que enlaza una tty a un fichero que se crea, y luego lanza la
shell usando esa tty1. En la explicación dicen que tenemos que usar el
tema del wheel para suid's sin password y que además un usuario del
grupo wheel esté conectado al sistema. 

Yo creo que el /dev/tty del ejemplo está puesto en plan genérico y que
si el usuario que es del grupo wheel está en /dev/tty5, deberíamos hacer
ln /dev/tty5 tty5; bash < tty5.

El tema es que la parte de PAM que se encarga de lo del wheel usa
getlogin() mal y se le puede timar, yo creo que se le tima con eso,
getlogin mirará en la tty en la que está a ver qué login le corresponde,
y con el tema del ln le mentimos.

-- 
Agur
  Pablo Garaizar Sagarminaga
  garaizar@eside.deusto.es