[HL2003-122]HP HP-UX dtprintinfo DISPLAY 환경변수 버퍼오버플로우 취약점
 
* 분류 No.  HL2003-122  
* 게시일  2003-10-10 10:33:05 
* 공격 범위  local  
* 위험도  Low 
  
 
* 취약한 시스템  
  
HP-UX versions B.11.00, B.11.11, B.11.22  
   
 
* 공격 영향 
  
내부의 사용자가 root권한을 획득 할 수 있습니다. 
   
 
* 취약점 상세 설명 

CDE(Common Desktop Environment)는 X를 기반으로하는 GUI 패키지 이며, 
여러가지 어플리케이션을  제공합니다. dtprintinfo는 CDE 패키지에 포함된 
어플리케이션입니다. 

dtprintinfo는 root권한으로 실행되는 어플리케이션으로 환경변수인 DISPLAY의 경계값을 
체크하지 않아 버퍼오버플로우가 발생하게 됩니다. 이를 이용해 공격자가 쉽게 root권한을 
획득 할 수 있습니다.

 
* 해결 방안 
  
dtprintinfo를 사용하지 않으시면, 아래와 같이 설정을 변경하시기 바랍니다.
chmod 555 /usr/dt/bin/dtprintinfo

itrc.hp.com으로 부터 아래 패치를 받아 설치하십시요.
B.11.00 PHSS_29367
B.11.11 PHSS_29371
B.11.22 PHSS_29373
   
 
* 참고사이트 
  
http://www.ciac.org/ciac/bulletins/o-003.shtml
http://www.secunia.co.uk/advisories/9977/
http://itrc.hp.com/cki/bin/doc.pl/screen=ckiSecurityBulletin