I. Sistemas Afectados
--------------------------------------------------------------
o Sun Solaris 10 (SunOS 5.10)
o Sun "Nevada" (SunOS 5.11)
Ambas arquitecturas son afectadas SPARC e Intel (x86)

II. Descripción
--------------------------------------------------------------
Un gusano se encuentra explotando una vulnerabilidad en el demonio telnet (in.telnetd) de sistemas Sun Solaris no actualizados. La vulnerabilidad permite que el gusano (o cualquier intruso) tenga acceso al sistema vía telnet (23/tcp) con privilegios. Más detalles respecto a esta vulnerabilidad se encuentran disponibles por medio
de las notas de la vulnerabilidad VU#881872 (CVE-2007-0882).

Debido a la facilidad para explotar la vulnerabilidad VU#881872 y a que existe publicada información técnica respecto a ella no nada más el gusano sino cualquier intruso podría explotar esta vulnerabilidad.

Las características de esta vulnerabilidad son pero no se limitan a:
o Explotar la vulnerabilidad VU#881872 para acceder vía telnet como usuario adm o lp
o Cambio de permisos en /var/adm/wtmpx a -rw-r--rw-
o Crear el directorio .adm en /var/adm/sa/
o Agregar archivos .profile/var/adm/y/var-
/spool/lp/
o Instalar un shell como puerta trasera en el puerto 32982/tcp
o Modificar el acceso al crontab para los usuarios adm y lp

Sun ha publicado la información del gusano en su sistema de alertas de seguridad incluyendo un script que deshabilita el demonio telnet y revierto los cambios realizado por el gusano.

III. Impacto
-------------------------------------------------------------
La vulnerabilidad VU#881872 permite que un intruso pueda acceder al sistema de forma remota en sistemass vulnerables vía telnet y obtener privilegios de administrador. El gusano aprovecha esta vulnerabilidad para comprometer equipos tal como se describe arriba. A partir de que el gusano instala un shell como puerta trasera es posible que un intruso con conocimientos sobre el proceso de autenticación pueda acceder al sistema y realizar cualquier acción con privilegios de usuario adm o lp.

IV. Solución
--------------------------------------------------------------
Instalación de actualización. Para tratar la vulnerabilidad VU#881872 aplicar las actualizaciones adecuadas referentes a la alerta de seguridad 102802 de SUN.
Ejecución de script: Para restaurar los sistemas comprometidos SUN ha publicado un script que deshabilita el demonio telnet y revierte los cambios que el gusano realiza. Es importante resaltar que este script sólo restaura los cambios que realiza este gusano. Al ejecutar el script no se garantiza la integridad del sistema. Un sistema puede ser vulnerable de diferentes formas: un intruso puede explotar la vulnerabilidad VU#881872 o utilizar una puerta trasera instalada por el gusano.

Para hacer una restauración completa será necesario reinstalar el sistema comprometido utilizando software obtenido de fuentes confiables.

V. Medidas
-------------------------------------------------------------
Hasta que se apliquen las actualizaciones correspondientes se de considerat las siguientes medidas:
* Deshabilitar telnet: El demonio de telnet puede deshabilitarse haciendo uso de los siguientes comandos como usario root : # /usr/sbin/svcadm disable telnet
* Restringir el acceso a telnet. Restringir el acceso a telnet (23/tcp) a redes no confiables tales
como Internet
* Usar SSH en lugar de telnet. SSH comparado con telnet hace uso de un método más seguro para la autenticación remota. De forma general se recomienda usar SSH en lugar de telnet.