Falsificación de resolución de nombres de dominio en KDE KPPP

Se ha anunciado una vulnerabilidad en KDE KPPP por la que un usuario local podrá falsificar la resolución de nombres de dominio en el sistema.

KPPP es un dialer e interfaz para pppd destinado a funcionar sobre el entorno gráfico KDE.

El problema reside en que KPPP no cierra adecuadamente los descriptores de archivos. Un usuario local puede abrir 17 descriptores de archivos antes de ejecutar. KPPP cerrará los descriptores de archivos abiertos con anterioridad dejará un descriptor de archivo privilegiado abierto.
Un usuario local podrá explotar el descriptor de archivo para conseguir acceso de lectura y escritura sobre '/etc/hosts' y '/etc/resolv.conf'.
Como resultado, el atacante local podrá controlar la resolución de nombres de dominio en el sistema.

Se ha publicado un parche para KDE 3.1, disponible en:
ftp://ftp.kde.org/pub/kde/security_patches :
0e999df54963edd5f565b6d541f408d9 post-3.1.5-kdenetwork.diff


Como contramedida temporal se recomienda eliminar el bit setuid de KPPP y dar privilegior de root de forma manual antes de ejecutar KPPP:
chmod -s /usr/sbin/kppp

KPPP Privileged File Descriptor Leak Vulnerability http://www.idefense.com/application/poi/display?id=208&type=vulnerabilities

KDE Security Advisory: kppp Privileged fd Leak Vulnerability http://www.kde.org/info/security/advisory-20050228-1.txt


Autor original: Antonio Ropero
Noticia extraida de: Hispasec

Saludos
Fernando Ferrari
fernandorferrari@yahoo.com.ar