Exploit in rpc.statd 0.3.3?

From: Roy Sigurd Karlsbakk (royat_private)
Date: Mon Jul 08 2002 - 08:10:56 PDT

  • Next message: Thorsten Schroeder: "Apache Worm / ddos"

    hi all
    
    The other day, my PC, running redhat 7.3, rebooted without a given reason. 
    Checking the logs, I find these rather strange lines as below, looking like 
    shellcode. I keep seeing quite a few of them. An hour or so before it booted, 
    I had one.
    
    Can anyone help me out if this is an exploit? I heard about something like 
    this on debian, but not on redhat
    
    see below for the log entry
    
    roy
    
    Jul  8 13:11:45 roy-sin rpc.statd[739]: gethostbyname error for 
    ^X÷ÿ¿^X÷ÿ¿^Z÷ÿ¿^Z÷ÿ¿%8x%8x%8x%8x%8x%8x%8x%8x%8x%62716x%hn%51859x%hn\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220
    
    
    -- 
    Roy Sigurd Karlsbakk, Datavaktmester
    
    Computers are like air conditioners.
    They stop working when you open Windows.
    
    
    ----------------------------------------------------------------------------
    This list is provided by the SecurityFocus ARIS analyzer service.
    For more information on this free incident handling, management 
    and tracking system please see: http://aris.securityfocus.com
    



    This archive was generated by hypermail 2b30 : Mon Jul 08 2002 - 08:34:18 PDT