Häufig angezeigte Sicherheitsmeldungen durch Nessus-Scan Berichte für Solaris-Betriebssysteme

Transkript

1 Häufig angezeigte Sicherheitsmeldungen durch Nessus-Scan Berichte für Solaris-Betriebssysteme Hans-Ulrich Hohn Institut für wissenschaftliches Rechnen Postfach Karlsruhe Tel: 07247/ Fax: 07247/ Mail: Internet: Dezember 2003

2 Inhaltsverzeichnis 1 Cups Druckerspooler Die in diesem Zusammenhang angezeigten Nessus-Meldungen Maßnahmen FTP Daemon Die in diesem Zusammenhang angezeigten Nessus-Meldungen Maßnahmen dtspcd Dienst Die in diesem Zusammenhang angezeigten Nessus-Meldungen Maßnahmen Apache Anwendung Die in diesem Zusammenhang angezeigten Nessus-Meldungen Maßnahmen Entpacken der Source-Distributionen Openssl 0.9.6l Apache & Mod ssl Apache Startverhalten automatisieren Erneuern von Zertifikaten Apache-httpsd Konfiguration Aufräumen Installationsarchiv anlegen I

3 Abbildungsverzeichnis 1.1 Nessus-Meldungen über Cups Druckerspooler Nessus-Meldungen über Cups Druckerspooler Entpacken und übersetzen von Cups Übersetzen und installieren von Cups Integration der benötigten Drucker-Modelle in Cups Installation der Foomatic Filter-Scripte Anpassung der Cups-Daemon Konfigurationsdatei Ursprüngliche Druckerkonfiguration Wiederherstellen Ursprüngliche Druckerkonfiguration Wiederherstellen Aufbau einer SSH-getunnelten Verbindung zum WEB-FrontEnd von cups Verbindungsaufbau zum WEB-FrontEnd von cups Cups Binary-Distribution erstellen Nessus-Meldungen über den Solaris FTP Daemon Auskommentieren des FTP-Daemons in der /etc/inetd.conf Neustart des inet-daemons Nessus-Meldungen über den Solaris dtspcd Dienst Auskommentieren des dtspcd Dienstes in der /etc/inetd.conf Neustart des inet-daemons Nessus-Meldungen über den Apache WEB-Server Nessus-Meldungen über den Apache WEB-Server Entpacken der Source-Distributionen Openssl 0.9.6l Apache & Mod ssl Apache Startverhalten automatisieren Erneuern von Zertifikaten Apache-httpsd Startup-Verhalten automatisieren Apache-httpsd weitere Grundkonfigurationen Aufräumen Installationsarchiv anlegen II

4 Kapitel 1 Cups Druckerspooler 1.1 Die in diesem Zusammenhang angezeigten Nessus- Meldungen Vulnerability found on port unknown (631/tcp) It seems that the source code of various CGIs can be accessed by requesting the CGI name with a special suffix (.old,.bak, ~ or.copy) Here is the list of CGIs Nessus gathered : /jobs.old /jobs.bak /jobs~ /jobs.2 /jobs.copy /jobs.tmp You should delete these files. Nessus ID : Abbildung 1.1: Nessus-Meldungen über Cups Druckerspooler 1 Vulnerability found on port unknown (631/tcp) The remote CUPS server seems vulnerable to various flaws which allow a remote attacker to shut down this server or even to remotely gain the privileges of the lp user. Solution : upgrade to CUPS Risk factor : High CVE : CAN , CAN , CAN , CAN , CAN , CAN , CAN Nessus ID : Abbildung 1.2: Nessus-Meldungen über Cups Druckerspooler 2 1

5 1.2 Maßnahmen Wie bereits durch Nessus empfohlen wird für den Cups Druckerspooler ein Update vorgenommen. Falls Cups selber übersetzt werden soll kann man heirbei wie folgt vorgehen: Die Cups-Quellen (cups source.tar.gz) wurden entpackt unterhalb von /usr/local/freeware/src/cups. cd /usr/local/freeware/src/cups /usr/local/gnu/bin/tar -xvzf cups source.tar.gz cd cups /configure --prefix=/usr/local/freeware/cups make Abbildung 1.3: Entpacken und übersetzen von Cups Der alte Cups-Daemon wurde gestoppt, die alte Installation gelöscht, die neue Cups- Version installiert und die Quellen gelöscht: /etc/init.d/cups stop rm -fr /usr/local/freeware/cups mkdir /usr/local/freeware/cups cd /usr/local/freeware/src/cups/cups make install cd.. rm -fr cups Abbildung 1.4: Übersetzen und installieren von Cups Unsere Druckermodelle in die neu Cups-Installation kopieren: cp /usr/local/freeware/src/cups/iwr/model/* \ /usr/local/freeware/cups/share/cups/model Abbildung 1.5: Integration der benötigten Drucker-Modelle in Cups Da wir auch Foomatic Druckertreiber verwenden (siehe: ) ebenfalls die Filter-Scripte foomatic-rip und foomatic-gswrapper in das Filter- Directory kopieren: 2

6 cp /usr/local/freeware/src/cups/iwr/foomatic/* \ /usr/local/freeware/cups/lib/cups/filter Abbildung 1.6: Installation der Foomatic Filter-Scripte A C H T U N G: in den Beiden Foomatic-Scripten ist evtl. die Position des Perl- Interpreters anzupassen! Anpassung der Cups-Daemon Konfigurationsdatei: cd /usr/local/freeware/cups/etc/cups cp cupsd.conf cupsd.conf.orig vi cupsd.conf... Server Identity... Mail-adresse des Administrators ServerAdmin hu@iwr.fzk.de... Network Options... TCP-Port des Cups-WEB-Front/Ends Port 631 WEB-Front/End verwendung grundsatzlich beschraenkt auf Listen localhost Listen Namensaufloesung aktivieren HostNameLookups On... Browsing Options... von anderen sich im Netz befindlichen Cups- -Servern wollen wir nichts wissen Browsing Off... BrowseAllow None BrowseDeny All... BrowseOrder deny,allow Security Options 3

7 ... <Location /> AuthType Basic AuthClass System Order Deny,Allow Deny From All Allow From </Location>... Abbildung 1.7: Anpassung der Cups-Daemon Konfigurationsdatei Unsere Druckerkonfiguration in die neu Cups-Installation kopieren: cp /usr/local/freeware/src/cups/iwr/printers.conf \ /usr/local/freeware/cups/etc/cups Abbildung 1.8: Ursprüngliche Druckerkonfiguration Wiederherstellen Cups-Printerspooler starten: /etc/init.d/cups start Abbildung 1.9: Ursprüngliche Druckerkonfiguration Wiederherstellen Frei nach dem Motto keep it pretty simple haben wir bei der Übersetzung von Cups auf die Unterstützung der SSL-Verschlüsselung verzichtet. Nun muss die Konfigurations WEB-Verbindung durch einen SSH-Tunnel stattfinden: ssh1 -L 40000: :631 root@anywhere.at.fzk.de Abbildung 1.10: Aufbau einer SSH-getunnelten Verbindung zum WEB-FrontEnd von cups Ist der Tunnel aufgebaut, so kann er durch folgende Eingabe im lokalen Browser- Fenster verwendet werden: Abbildung 1.11: Verbindungsaufbau zum WEB-FrontEnd von cups Dort printers wählen und bei allen Druckern durch Configure Printer die defaults wieder herstellen. Evtl. die Datei /etc/motd anpassen. 4

8 Als letztes eine neue Binary-Distribution zusammenbauen: /etc/init.d/cups stop rm /usr/local/freeware/cups/var/spool/cups/c* rm /usr/local/freeware/cups/var/log/cups/error_log rm /usr/local/freeware/cups/var/log/cups/access_log rm /usr/local/freeware/cups/var/log/cups/page_log /usr/local/gnu/bin/tar -cvzf \ /usr/local/freeware/bindist/cups sun4u_5.8.tar.gz \ /usr/local/freeware/cups \ /etc/printcap \ /etc/motd \ /etc/init.d/cups \ /etc/rc0.d/k00cups \ /etc/rc2.d/s99cups \ /etc/rc3.d/s99cups \ /etc/rc5.d/s99cups \ /usr/local/freeware/src/cups /etc/init.d/cups start Abbildung 1.12: Cups Binary-Distribution erstellen 5

9 Kapitel 2 FTP Daemon 2.1 Die in diesem Zusammenhang angezeigten Nessus- Meldungen Vulnerability found on port ftp (21/tcp) You seem to be running an FTP server which is vulnerable to the glob heap corruption flaw. An attacker may use this problem to execute arbitrary commands on this host. *** Nessus relied solely on the banner of the server to issue *** this warning, so this alert might be a false positive *** NOTE: must have a valid username/password to fully check *** this vulnerability Solution : Upgrade your ftp server software to the latest version. Risk factor : High CVE : CAN , CVE BID : 2550, 3581 Nessus ID : Abbildung 2.1: Nessus-Meldungen über den Solaris FTP Daemon 2.2 Maßnahmen Da im Forschungszentrum grosser Wert auf die Verwendung der Secure Shell gelegt wird ( können wir den FTP-Daemon getrost abschalten. Zunächst wird der entsprechende Super-Server Prozess in der /etc/inetd.conf auskommentiert: 6

10 ftp stream tcp6 nowait root \ /usr/local/freeware/sbin/tcpd /usr/sbin/in.ftpd Abbildung 2.2: Auskommentieren des FTP-Daemons in der /etc/inetd.conf Dann muss der inet-daemon neu gestartet werden. ps -ef grep inetd > root Nov 19? 0:00 /usr/sbin/inetd -s kill -HUP 125 Abbildung 2.3: Neustart des inet-daemons 7

11 Kapitel 3 dtspcd Dienst 3.1 Die in diesem Zusammenhang angezeigten Nessus- Meldungen Vulnerability found on port dtspc (6112/tcp) The dtspcd service is running. This service deals with the CDE interface for the X11 system. Some versions of this daemon are vulnerable to a buffer overflow attack which may allow an attacker to gain root privileges on this host. *** This warning might be a false positive, *** as no real overflow was performed Solution : See to determine if you are vulnerable or deactivate this service (comment out the line dtspc in /etc/inetd.conf and restart the inetd process) Risk factor : High CVE : CVE BID : 3517 Nessus ID : Abbildung 3.1: Nessus-Meldungen über den Solaris dtspcd Dienst 3.2 Maßnahmen Da auf einem Server kein X11 System laufen sollte, können wir den dtspcd Dienst ebenfalls abschalten. Zunächst wird der entsprechende Super-Server Prozess in der /etc/inetd.conf auskommentiert: 8

12 dtspc stream tcp nowait root /usr/local/freeware/sbin/tcpd \ /usr/dt/bin/dtspcd Abbildung 3.2: Auskommentieren des dtspcd Dienstes in der /etc/inetd.conf Dann muss der inet-daemon neu gestartet werden. ps -ef grep inetd > root Nov 19? 0:00 /usr/sbin/inetd -s kill -HUP 125 Abbildung 3.3: Neustart des inet-daemons 9

13 Kapitel 4 Apache Anwendung 4.1 Die in diesem Zusammenhang angezeigten Nessus- Meldungen Vulnerability found on port https (443/tcp) The remote host appears to be running a version of Apache which is older than There are several flaws in this version, which may allow an attacker to disable the remote server remotely. You should upgrade to or newer. *** Note that Nessus solely relied on the version number *** of the remote server to issue this warning. This might *** be a false positive Solution : Upgrade to version See also : Risk factor : High CVE : CAN , CAN BID : 8226 Nessus ID : Abbildung 4.1: Nessus-Meldungen über den Apache WEB-Server 1 Vulnerability found on port https (443/tcp) The remote host seem to be running a version of OpenSSL which is older than 0.9.6k or 0.9.7c. There is a heap corruption bug in this version which might be exploited by an attacker to gain a shell on this host. Solution : If you are running OpenSSL, Upgrade to version 0.9.6k or 0.9.7c or newer 10

14 Risk factor : High CVE : CAN , CAN , CAN BID : 8732 Nessus ID : Abbildung 4.2: Nessus-Meldungen über den Apache WEB-Server Maßnahmen Apache mit Strong-Encryption Modul mod ssl (oder entsprechend neuer - Stand Dezember 2003) installieren Entpacken der Source-Distributionen cd /usr/local/freeware/src tar -xvzf openssl-0.9.6l.tar.gz tar -xvzf mod_ssl tar.gz tar -xvzf apache_ tar.gz Abbildung 4.3: Entpacken der Source-Distributionen Openssl 0.9.6l build & install cd openssl-0.9.6l./config --prefix=/usr/local/freeware/openssl \ --openssldir=/usr/local/freeware/openssl make make test make install Installationsarchiv anlegen cd / tar -cvzf \ /usr/local/freeware/bindist/openssl-0.9.6l-sun4u_5.8.tar.gz \ /usr/local/freeware/openssl \ /usr/local/freeware/src/openssl-0.9.6l.tar.gz Environment ueberpruefen: (z.b. in: "/etc/profile" oder "/usr/local/var/hiklan/login-global") vi /etc/profile.d/openssl.sh PATH=/usr/local/freeware/openssl/bin:$PATH export PATH MANPATH=/usr/local/freeware/openssl/man:$MANPATH export MANPATH LD_LIBRARY_PATH=\ 11

15 /usr/local/freeware/openssl/lib:$ld_library_path export LD_LIBRARY_PATH Abbildung 4.4: Openssl 0.9.6l Apache & Mod ssl Configure Apache Mod_ssl cd /usr/local/freeware/src/mod_ssl /configure --with-apache=../apache_ \ --with-ssl=../openssl-0.9.6l \ --prefix=/usr/local/freeware/apache Build Apache cd../apache_ make make install You now have successfully built and installed the Apache 1.3 HTTP server. To verify that Apache actually works correctly you now should first check the (initially created or preserved) configuration files /usr/local/freeware/apache/conf/httpd.conf and then you should be able to immediately fire up Apache the first time by running: /usr/local/freeware/apache/bin/apachectl start Or when you want to run it with SSL enabled use: /usr/local/freeware/apache/bin/apachectl startssl Thanks for using Apache. The Apache Group Abbildung 4.5: Apache & Mod ssl Apache Startverhalten automatisieren Auf Basis des mitgelieferten System-V Startscripts /usr/local/freeware/apache/bin/apachectl wurde ein veraendertes Startscript 12

16 /usr/local/freeware/apache/bin/apachesslctl erstellt. Hier wurde der "case start" geloescht und der "case startssl" um "start" erweitert: vorher: nachher: startssl sslstart start-ssl) start startssl sslstart start-ssl) Dann wurden die erforderlichen Links unterhalb von /etc/rc3.d angelegt: Environment keins cd /etc/rc2.d ln -s /usr/local/freeware/apache/bin/apachesslctl \ S99apachesslctl ln -s /usr/local/freeware/apache/bin/apachesslctl \ K00apachesslctl Abbildung 4.6: Apache Startverhalten automatisieren Erneuern von Zertifikaten Die Certivicates werden wie folgt erstellt: mkdir /usr/local/freeware/apache/conf/ssl cd /usr/local/freeware/apache/conf/ssl RSA-key fuer CA generieren openssl genrsa \ -rand /var/adm/messages:/var/adm/messages.0 \ -out iwrtest.fzk.de.ca.key 1024 Konfigurationsdatei fuer CA-Signatur erstellen vi iwrtest.fzk.de.ca.cfg CA-Signatur erstellen openssl req \ -config iwrtest.fzk.de.ca.cfg -new \ -key iwrtest.fzk.de.ca.key \ -out iwrtest.fzk.de.ca.csr RSA-key fuer SERVER generieren openssl genrsa \ -rand /var/adm/messages:/var/adm/messages.0 \ -out iwrtest.fzk.de.server.key 1024 Konfigurationsdatei fuer SERVER-Signatur erstellen 13

17 vi iwrtest.fzk.de.server.cfg SERVER-Signatur erstellen openssl req \ -config iwrtest.fzk.de.server.cfg -new \ -key iwrtest.fzk.de.server.key \ -out iwrtest.fzk.de.server.csr Konfigurationsdatei fuer X509-Certificate der CA erstellen vi iwrtest.fzk.de.ca-x509.cfg X509-Certificate der CA erstellen openssl x509 \ -extfile iwrtest.fzk.de.ca-x509.cfg \ -days 365 \ -signkey iwrtest.fzk.de.ca.key \ -in iwrtest.fzk.de.ca.csr -req \ -out iwrtest.fzk.de.ca.crt Seriennummer fuer X509-Certificate der CA erstellen vi iwrtest.fzk.de.server.serial Konfigurationsdatei fuer X509-Certificate des SERVERS erstellen vi iwrtest.fzk.de.server-x509.cfg X509-Certificate des SERVERS erstellen und mit X509-Certificate der CA unterschreiben openssl x509 \ -extfile iwrtest.fzk.de.server-x509.cfg \ -days 365 \ -CAserial iwrtest.fzk.de.server.serial \ -CA iwrtest.fzk.de.ca.crt \ -CAkey iwrtest.fzk.de.ca.key \ -in iwrtest.fzk.de.server.csr -req \ -out iwrtest.fzk.de.server.crt Abbildung 4.7: Erneuern von Zertifikaten Apache-httpsd Konfiguration Apache-httpsd Startup-Verhalten automatisieren siehe: jw35/docs/doing ssl.html Verwendet man den Apache httpsd, also den WEB-Server im SSL-Modus, so wird man normalerweise bei dessen Start zur Eingabe der Pass-Phrase, also des Schlüssels zur Erzeugung des Private-Keys, aufgefordert. Dies ist insbesondere beim Systemrestart lästig, da so ein automatischer Start des WEB-Servers verhindert wird. 14

18 Dies kann ermöglicht werden, indem man den Private-Key unverschlüsselt, d.h. im Klartext ablegt. Dies geschieht durch: cd /usr/local/freeware/apache/conf/ssl Private-Key des Servers im Klartext fuer automatischen Start des Apache-httpsd erzeugen openssl rsa \ -in iwrtest.fzk.de.server.key \ -out iwrtest.fzk.de.server.clear Dann muss die Konfigurationsdatei des Apache-httpsd wie folgt geaendert werden: vi /usr/local/freeware/apache/conf/httpd.conf vorher SSLCertificateKeyFile /usr/local/freeware/apache/conf/ssl \ /iwrtest.fzk.de.server.key nachher SSLCertificateKeyFile /usr/local/freeware/apache/conf/ssl \ /iwrtest.fzk.de.server.clear Dies bedeutet aber, dass ab nun der Private-Key des Apache-httpsd im Klartext im Dateisystem vorliegt. Die Datei "server.clear" ist deshalb zumindest auf UNIX-Ebene zu schuetzen. cd /usr/local/freeware/apache/conf/ssl chmod 600 iwrtest.fzk.de.server.clear Abbildung 4.8: Apache-httpsd Startup-Verhalten automatisieren Apache-httpsd weitere Grundkonfigurationen System-Benutzer und Gruppe eingespielt: Auskommentieren der unverschluesselten Verbindungsmoeglichkeiten: Port 80 Listen 80 Setzen der Group-ID des httpsd: Servername: User nobody Group nogroup ServerName adresse des Serveradministrators eingetragen: SSL ServerAdmin hohn@hik.fzk.de 15

19 vorher: /usr/local/freeware/apache/conf/ssl.crt/server.crt nachher: /usr/local/freeware/apache/conf/ssl/ \ iwrtest.fzk.de.server.crt Abbildung 4.9: Apache-httpsd weitere Grundkonfigurationen Aufräumen Zum Aufraeumen muessen folgende Verzeichnisse geloescht werden: cd /usr/local/freeware/src rm -fr openssl-0.9.6l mod_ssl \ apache_ Abbildung 4.10: Aufräumen Installationsarchiv anlegen cd / tar -cvzf /usr/local/freeware/bindist/ \ apache_ mod_ssl sun4u_5.8.tar.gz \ /usr/local/freeware/apache \ /usr/local/freeware/src/mod_ssl tar.gz \ /usr/local/freeware/src/apache_ tar.gz \ /etc/rc3.d/s99apachesslctl /etc/rc3.d/k00apachesslctl Abbildung 4.11: Installationsarchiv anlegen 16