CERT-FI haavoittuvuustiedote 073/2005

18.10.2005

Haavoittuvuus Snort-ohjelmistossa


Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö - ilman käyttäjän toimia	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Snort on suosittu tunkeutumisen havaitsemiseen tarkoitettu avoimen lähdekoodin ohjelmisto. Useat eri tunkeutumisen havaitsemisjärjestelmät (IDS) pohjautuvat Snort-ohjelmiston koodiin. Snort-ohjelmistosta on löytynyt vakava haavoittuvuus.

Löydetty haavoittuvuus on Snort-ohjelmiston Back Orifice -nimisessä tietoliikennepakettien esikäsittelijässä (preprocessor). Haavoittuvuutta voidaan hyväksikäyttää lähettämällä tietyllä tavalla muokattu UDP-viesti verkkoon, jota haavoittuva ohjelmisto monitoroi. Haavoittuvuutta hyväksikäyttävän viestin kohdeportti voi olla mikä tahansa UDP-portti. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa omia komentojaan kohdejärjestelmässä, tyypillisesti root- tai SYSTEM-oikeuksilla.

HAAVOITTUVAT OHJELMISTOT:

Snort 2.4.2 ja sitä aikaisemmat versiot
IDS-ohjelmistot, jotka pohjautuvat haavoittuvan Snort-ohjelmiston koodiin

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva Snort-ohjelmisto versioon 2.4.3:

http://www.snort.org/dl/

Haavoittuvuudelta voidaan suojautua myös poistamalla käytöstä Back Orifice -esikäsittelijä kommentoimalla seuraava snortin konfiguraatiotiedoston (snort.conf) rivi:

#preprocessor bo

ja käynnistämällä tämän jälkeen snort-ohjelmisto uudelleen.

Yleisohjeena CERT-FI suosittelee estämään IDS-järjestelmän sensoreista ulospäin monitoroitavaan verkkoon suuntautuva liikenne.