dtspcd
Mehr Info
- Typ
- Daemon
- Port
- 6112/TCP
Der Subprocess Control Daemon von CDE, der Programme für den Desktop auf anderen Rechnern startete und die Lücke, durch die 2002 Solaris-Server in aller Welt aufgebrochen wurden.
dtspcd wurde von inetd auf TCP-Port 6112 jeder Maschine gestartet, auf der CDE lief. Er existierte, damit eine Aktion im Front Panel oder im Dateimanager einen Befehl auf einem anderen Rechner im Netz ausführen konnte, als der richtige Benutzer und mit der richtigen Umgebung. Die Desktop-Bibliotheken sprachen im Auftrag der Anwendungen mit ihm. Er lauschte standardmäßig, ob ihn jemand brauchte oder nicht, unter Solaris, HP-UX, AIX und Tru64: ein Root-Prozess, der Daten von jedem im Netz entgegennahm.
Im November 2001 meldete ISS X-Force einen Pufferüberlauf in der Verarbeitung von Clientdaten, CVE-2001-0803, der Root-Rechte ohne Anmeldung verschaffte. CERT gab eine Warnung heraus, kaum jemand schaltete den Dienst ab, und im Januar 2002 folgte die nächste Meldung: Die Schwachstelle wurde aktiv gegen Solaris-Systeme ausgenutzt. dtspcd blieb jahrelang fester Bestandteil im Werkzeugkasten von Angreifern und wurde zum Lehrbuchbeispiel dafür, warum ein Desktop keinen Root-Dienst offen ins Netz stellen sollte. Port 6112 teilte er sich übrigens mit Blizzards Battle.net, was Firewall-Protokolle noch unübersichtlicher machte.