L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Firewall-1

annonce de vulnérabilité informatique CVE-2010-0102

IDS, IPS : Advanced Evasion Techniques

Synthèse de la vulnérabilité

Vingt trois cas de techniques standards de variation de paquets ne sont pas détectées par la majorité des IDS/IPS.
Produits concernés : FW-1, CheckPoint Security Gateway, VPN-1, Cisco IPS, TippingPoint IPS, McAfee NTBA, Snort.
Gravité : 2/4.
Conséquences : transit de données.
Provenance : client internet.
Nombre de vulnérabilités dans ce bulletin : 23.
Date création : 17/12/2010.
Références : CVE-2010-0102, SBP-2010-31, SBP-2010-32, SBP-2010-33, SBP-2010-34, SBP-2010-35, VIGILANCE-VUL-10227.

Description de la vulnérabilité

Les IDS/IPS capturent les trames réseau, et analysent leurs contenus, afin de détecter des tentatives d'intrusion. Les attaquants font légèrement varier les paquets réseau, afin de contourner les IDS/IPS. Vingt trois cas de techniques standards de variation de paquets ne sont pas détectées par la majorité des IDS/IPS. Ces 23 cas concernent les protocoles IPv4, TCP, SMB et MSRPC. Ils sont basés sur des méthodes connues depuis 12 ans. Stonesoft a nommé ces cas "Advanced Evasion Techniques". Ils ont été annoncés dans VIGILANCE-ACTU-2612.

Un attaquant peut envoyer un paquet SMB Write avec une valeur "writemode" spéciale, suivi d'autres paquets SMB Write qui seront ignorés. [grav:2/4]

Un attaquant peut scinder les données de SMB Write en paquets ne contenant qu'un seul octet, encapsulés dans de petits fragments IPv4/TCP. [grav:2/4]

Un attaquant peut dupliquer chaque paquet IPv4, en lui ajoutant des options IPv4. [grav:2/4]

Un attaquant peut fragmenter les requêtes MSRPC en paquets contenant au plus 25 octets de données. [grav:2/4]

Un attaquant peut envoyer des messages MSRPC où tous les entiers sont encodés en Big Endian au lieu de Little Endian. [grav:2/4]

Un attaquant peut modifier les drapeaux NDR des messages MSRPC. [grav:2/4]

Un attaquant peut créer des messages MSRPC fragmentés dans des requêtes SMB fragmentées. [grav:2/4]

Un attaquant peut fragmenter des messages SMB en blocs contenant un octet de données. [grav:2/4]

Un attaquant peut fragmenter des messages SMB en blocs contenant au plus 32 octets de données. [grav:2/4]

Un attaquant peut employer un nom de fichier SMB commençant par "inutile\..\". [grav:2/4]

Un attaquant peut employer des segments TCP se chevauchant. [grav:2/4]

Un attaquant peut envoyer des segments TCP dans le désordre. [grav:2/4]

Un attaquant peut fragmenter des données TCP en blocs d'un octet. [grav:2/4]

Un attaquant peut utiliser une deuxième session TCP utilisant les mêmes numéros de port. [grav:2/4]

Un attaquant peut utiliser une session TCP, donc le premier octet est envoyé avec le drapeau urgent. [grav:2/4]

Un attaquant peut employer un message NetBIOS, dont les données ressemblent à une requête HTTP GET. [grav:2/4]

Un attaquant peut injecter 5 SMB Write dans une session SMB Write. [grav:2/4]

Un attaquant peut fragmenter une requête MSRPC dans des paquets TCP envoyés dans l'ordre inverse. [grav:2/4]

Un attaquant peut fragmenter une requête MSRPC dans des paquets TCP envoyés dans un ordre aléatoire. [grav:2/4]

Un attaquant peut fragmenter une requête MSRPC dans des paquet TCP envoyés avec un numéro de séquence initial proche de 0xFFFFFFFF. [grav:2/4]

Un attaquant peut envoyer un paquet NetBIOS vide, avant chaque message NetBIOS. [grav:2/4]

Un attaquant peut envoyer un paquet NetBIOS de type invalide, avant chaque message NetBIOS. [grav:2/4]

Un attaquant peut employer une variation inconnue. [grav:2/4]
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité CVE-2009-1227

Firewall-1 : buffer overflow de PKI Web Service

Synthèse de la vulnérabilité

Un attaquant peut se connecter sur le service PKI Web Service de Firewall-1 afin d'y provoquer un débordement.
Produits concernés : FW-1.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service.
Provenance : client intranet.
Date création : 30/03/2009.
Date révision : 08/04/2009.
Références : BID-34286, CVE-2009-1227, VIGILANCE-VUL-8574.

Description de la vulnérabilité

Le service PKI Web Service de Check Point Firewall-1 est un serveur web de gestion des clés, accessible sur le port 18264/tcp.

L'entête Authorization du protocole HTTP indique les données d'authentification. L'entête Referer du protocole HTTP indique l'url précédemment visitée.

Lorsque le service PKI Web reçoit des entêtes Authorization et Referer trop longs, un buffer overflow se produit. Ce débordement pourrait conduire à l'exécution de code.

La liste des versions vulnérables n'est pas connue avec précision. Cette vulnérabilité a été découverte en 2006.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique 6035

Firewall-1 : lecture de fichier

Synthèse de la vulnérabilité

Un attaquant peut se connecter sur le serveur web 18264/tcp afin de lire un fichier du système.
Produits concernés : FW-1.
Gravité : 3/4.
Conséquences : lecture de données.
Provenance : client internet.
Date création : 25/07/2006.
Références : BID-19136, VIGILANCE-VUL-6035.

Description de la vulnérabilité

Un serveur web, utilisé pour les CRL (Certificate Revocation Lists) et les User Registration Services, est en écoute sur le port 18264/tcp (FW1_ica_services).

Ce serveur web ne filtre pas correctement les caractères de l'uri, ce qui permet à un attaquant de sortir de la racine. Cette vulnérabilité pourrait affecter uniquement les plateformes Windows.

Cette vulnérabilité permet à un attaquant distant de lire les fichiers présents sur la machine.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2005-3666 CVE-2005-3667 CVE-2005-3668

IPSec : vulnérabilités de certaines implémentations du protocole ISAKMP

Synthèse de la vulnérabilité

Plusieurs implémentations du protocole ISAKMP sont sensibles aux mêmes vulnérabilités.
Produits concernés : FW-1, VPN-1, ASA, Cisco Catalyst, IOS par Cisco, Cisco Router, Cisco VPN Concentrator, Debian, Fedora, Tru64 UNIX, HP-UX, Juniper E-Series, Juniper J-Series, JUNOSe, Junos OS, Mandriva Linux, NETASQ, NetBSD, openSUSE, Openswan, Solaris, RHEL, ProPack, SEF, SGS, Unix (plateforme) ~ non exhaustif.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, déni de service du serveur, déni de service du service.
Provenance : client internet.
Nombre de vulnérabilités dans ce bulletin : 14.
Date création : 14/11/2005.
Date révision : 22/11/2005.
Références : 102040, 102246, 10310, 20060501-01-U, 273756, 273756/NISCC/ISAKMP, 6317027, 6348585, 68158, BID-15401, BID-15402, BID-15416, BID-15420, BID-15474, BID-15479, BID-15516, BID-15523, BID-17030, BID-17902, c00602119, CERTA-2005-AVI-458, CERTA-2005-AVI-504, CQ/68020, CSCed94829, CSCei14171, CSCei15053, CSCei19275, CSCei46258, CSCsb15296, CVE-2005-3666, CVE-2005-3667, CVE-2005-3668, CVE-2005-3669, CVE-2005-3670, CVE-2005-3671, CVE-2005-3672, CVE-2005-3673, CVE-2005-3674, CVE-2005-3675, CVE-2005-3732, CVE-2005-3733, CVE-2005-3768, CVE-2006-2298, DSA-965-1, FEDORA-2005-1092, FEDORA-2005-1093, FLSA:190941, FLSA-2006:190941, HPSBTU02100, HPSBUX02076, MDKSA-2006:020, NetBSD-SA2006-003, NISCC/ISAKMP/273756, PR/61076, PR/61779, PSN-2005-11-007, RHSA-2006:026, RHSA-2006:0267-01, SEF8.0-20051114-00, sk31316, SSRT050979, SUSE-SA:2005:070, SYM05-025, VIGILANCE-VUL-5352, VU#226364.

Description de la vulnérabilité

Le protocole IPSec permet de créer des VPN. L'établissement d'un tunnel IPSec nécessite de disposer de SA (Security Associations: algorithme, taille de clé, etc.) entre les deux entités. Les SA peuvent être configurés par l'administrateur, ou automatiquement échangés. Dans ce cas, le protocole d'échange IKE (Internet Key Exchange) est utilisé. IKE est basé sur ISAKMP (ainsi que sur Oakley et Skeme). Le protocole ISAKMP (Internet Security Association and Key Management Protocol) définit un cadre générique (format et mécanismes). ISAKMP utilise deux phases : établissement d'une connexion sécurisée (phase 1, main mode ou aggressive mode), puis utilisation de cette connexion pour échanger un ou plusieurs SA (phase 2, quick mode). Le mode "aggressive" utilise moins d'échanges que le mode "main" et son utilisation n'est donc pas recommandée.

Plusieurs produits implémentent incorrectement la phase 1 du protocole ISAKMP/IKEv1. Ils comportent des vulnérabilités de type buffer overflow, attaque par format ou déni de service.

En fonction des produits, ces vulnérabilités permettent donc de faire exécuter de code ou de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité 5184

SecurePlatform NGX : absence de filtrage avec une règle CIFS

Synthèse de la vulnérabilité

Lorsqu'une règle contient le service CIFS, tous les flux de ces clients sont autorisés.
Produits concernés : FW-1, VPN-1.
Gravité : 2/4.
Conséquences : transit de données.
Provenance : client intranet.
Date création : 09/09/2005.
Références : BID-14781, VIGILANCE-VUL-5184, VU#508209.

Description de la vulnérabilité

Le service prédéfini CIFS correspond aux flux SMB/CIFS utilisés par les partages réseau Windows.

Lorsque ce service est utilisé dans une règle, seuls les ports 137/udp, 138/udp, 139/tcp et 445/tcp devraient être autorisés. Cependant, tous les flux tcp, udp et icmp sont autorisés.

Ainsi, les clients associés à cette règle sont autorisés à se connecter sur tous les services de l'adresse IP destination.
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique CVE-2004-0230

TCP : déni de service à l'aide de paquet Reset

Synthèse de la vulnérabilité

En envoyant des paquets contenant le drapeau Reset et en prédisant certaines informations, un attaquant peut interrompre des sessions TCP actives.
Produits concernés : FabricOS, Brocade Network Advisor, Brocade vTM, FW-1, VPN-1, ASA, Cisco Cache Engine, Cisco Catalyst, Cisco CSS, IOS par Cisco, Cisco Router, Cisco VPN Concentrator, WebNS, FreeBSD, Tru64 UNIX, AIX, Juniper E-Series, Juniper J-Series, JUNOSe, Junos OS, NSMXpress, Windows 2000, Windows 2003, Windows 95, Windows 98, Windows ME, Windows XP, NetBSD, NetScreen Firewall, ScreenOS, OpenBSD, TCP (protocole), Raptor Firewall, SUSE Linux Enterprise Desktop, SLES, SEF, SGS.
Gravité : 3/4.
Conséquences : déni de service du client.
Provenance : client internet.
Date création : 21/04/2004.
Dates révisions : 22/04/2004, 23/04/2004, 26/04/2004, 27/04/2004, 28/04/2004, 03/05/2004, 07/05/2004, 11/05/2004, 15/07/2004, 06/12/2004, 24/12/2004, 18/02/2005, 13/04/2005, 03/05/2005, 12/05/2005, 19/07/2005.
Références : 20040403-01-A, 2005.05.02, 236929, 50960, 50961, 58784, 899480, 922819, BID-10183, BSA-2016-005, CERTA-2004-AVI-138, CERTA-2004-AVI-140, CERTA-2004-AVI-143, CERTFR-2014-AVI-308, CERTFR-2017-AVI-034, CERTFR-2017-AVI-044, CERTFR-2017-AVI-054, CERTFR-2017-AVI-131, CISCO20040420a, CISCO20040420b, cisco-sa-20040420-tcp-ios, cisco-sa-20040420-tcp-nonios, CSCed27956, CSCed32349, CVE-2004-0230, FreeBSD-SA-14:19.tcp, HP01077, IY55949, IY55950, IY62006, IY63363, IY63364, IY63365, IY70026, IY70027, IY70028, JSA10638, MS05-019, MS06-064, NetBSD 2004-006, NetBSD-SA2004-006, Netscreen 58784, OpenBSD 34-019, OpenBSD 35-005, PSN-2012-08-686, PSN-2012-08-687, PSN-2012-08-688, PSN-2012-08-689, PSN-2012-08-690, SGI 20040403, SUSE-SU-2017:0333-1, SUSE-SU-2017:0437-1, SUSE-SU-2017:0494-1, SUSE-SU-2017:1102-1, V6-TCPRSTWINDOWDOS, VIGILANCE-VUL-4128, VU#415294.

Description de la vulnérabilité

L'entête TCP contient un champ window/fenêtre qui correspond à la taille du buffer de réception de la machine ayant émis le paquet. Ainsi si certains paquets arrivent dans le désordre la machine peut les stocker en attente de réception des paquets précédents.

Lorsqu'une connexion TCP est établie, elle peut se terminer de deux manières :
 - les entités s'échangent des paquets contenant le drapeau Fin actif. Dans ce cas, les numéros de séquence (et d'acquittement car le Ack est nécessaire) doivent correspondre exactement.
 - l'une des entités envoie un paquet contenant le drapeau Reset actif. Dans ce cas (drapeau Ack non actif), seul le numéro de séquence doit correspondre approximativement. En effet, il doit se situer dans la fenêtre de réception.

Ainsi, au lieu de deviner un numéro de séquence parmi 2^32 nombres, l'attaquant doit simplement envoyer 2^32/fenêtre paquets Reset. Par exemple si la taille de la fenêtre est 32k, l'attaquant doit envoyer 2^32/32k = 131072 paquets.

Il faut noter que pour mener ce déni de service utilisant un paquet TCP Reset, l'attaquant doit connaître :
 - les adresses IP source et destination
 - les ports source et destination
Certains protocoles comme BGP deviennent alors sensibles car ces informations peuvent être obtenues.

Un attaquant peut ainsi envoyer un paquet TCP contenant le drapeau Reset pour interrompre une session TCP active.

On peut noter que des paquets SYN peuvent aussi être utilisés, mais cette variante est moins efficace à cause des limitations généralement mises en place pour protéger contre les attaques synflood.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2004-0079 CVE-2004-0081 CVE-2004-0112

OpenSSL : dénis de service

Synthèse de la vulnérabilité

Trois erreurs de OpenSSL permettent à un attaquant de mener un déni de service sur ses applications.
Produits concernés : FW-1, VPN-1, ASA, Cisco Catalyst, Cisco CSS, IOS par Cisco, Cisco Router, WebNS, Debian, Fedora, FreeBSD, HP-UX, Mandriva Linux, NetBSD, OpenBSD, OpenSSL, openSUSE, RHEL, RedHat Linux, IRIX, ProPack, Slackware, TurboLinux, Unix (plateforme) ~ non exhaustif.
Gravité : 2/4.
Conséquences : déni de service du service.
Provenance : serveur internet.
Nombre de vulnérabilités dans ce bulletin : 3.
Date création : 17/03/2004.
Dates révisions : 18/03/2004, 19/03/2004, 22/03/2004, 23/03/2004, 29/03/2004, 30/03/2004, 22/04/2004, 27/04/2004, 07/05/2004, 10/05/2004, 12/07/2004, 03/11/2004, 01/02/2005.
Références : 20041101-01-P, 20051101-01-U, 224012, 58466, BID-9899, CERTA-2004-AVI-095, CERTA-2004-AVI-111, CIAC O-101, CISCO20040317a, Compaq SSRT4717, CVE-2004-0079, CVE-2004-0081, CVE-2004-0112, DSA-465, DSA-465-1, FEDORA-2004-095, FEDORA-2005-077, FEDORA-2005-078, FEDORA-2005-079, FEDORA-2005-1042, FLSA-1395, FLSA:1395, FLSA:166939, FLSA-2005:166939, FreeBSD-SA-04:05, HP01011, HP01019, MDKSA-2004:023, NetBSD 2004-005, NetBSD-SA2004-005, Netscreen 58466, O-101, OpenBSD 33-021, OpenBSD 34-016, RHSA-2004:119, RHSA-2004:120, RHSA-2004:121, RHSA-2005:829, RHSA-2005:829-00, RHSA-2005:830, SGI 20041101, SSA:2004-077-01, SSRT4717, SUSE-SA:2004:007, TLSA-2004-09, TLSA-2004-9, V6-UNIXOPENSSL3DOS, VIGILANCE-VUL-4067, VU#288574, VU#465542, VU#484726.

Description de la vulnérabilité

La bibliothèque OpenSSL est utilisée par de nombreux produits de sécurité, et contient trois vulnérabilités.

La fonction do_change_cipher_spec utilise un pointeur nul, ce qui provoque l'arrêt du logiciel. Cette erreur peut être mise en oeuvre lors d'un handshake SSL/TLS. Les versions concernées sont :
 - 0.9.6c à 0.9.6k incluse
 - 0.9.7a à 0.9.7c incluse

Lorsque Kerberos est employé, un handshake illicite peut conduire à l'arrêt du logiciel. Les versions concernées sont :
 - 0.9.7a à 0.9.7c incluse

Une boucle infinie peut être créée. Les versions concernées sont :
 - 0.9.? à 0.9.6c incluse

Ces trois vulnérabilités permettent donc de mener un déni de service sur les applications utilisant OpenSSL.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2005-0218

Antivirus : absence de vérification des données intégrées à un uri

Synthèse de la vulnérabilité

Lorsque les données sont intégrées à un uri, plusieurs antivirus ne les scannent pas.
Produits concernés : FW-1, ClamAV, Mandriva Linux, GroupShield, VirusScan, Sophos AV, InterScan VirusWall.
Gravité : 2/4.
Conséquences : transit de données.
Provenance : serveur internet.
Date création : 11/01/2005.
Dates révisions : 12/01/2005, 13/01/2005, 17/01/2005.
Références : BID-12269, CVE-2005-0218, MDKSA-2005:025, V6-AVURIDATABYPASS, VIGILANCE-VUL-4636.

Description de la vulnérabilité

La RFC 2397 définit le schéma "data" permettant d'intégrer les données dans l'uri, généralement encodées en base64. Par exemple :
  data:image/gif;base64,gAARXhpZaZ==

Ainsi, un document HTML peut contenir une image :
  [img src="data:..."]
ou un lien :
  [a href="data:..."]

Les navigateurs Mozilla, Firefox, Safari et Opera supportent cette RFC. Le navigateur Internet Explorer ne l'implémente pas.

Plusieurs antivirus ne supportent pas cette fonctionnalité.

Un attaquant peut donc créer un document HTML contenant un uri illicite. Les données qu'il indique ne seront pas détectées par ces antivirus.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité 4484

Absence de filtrage de certains contenus

Synthèse de la vulnérabilité

Certains contenus web ne sont pas correctement filtrés par les firewalls.
Produits concernés : Outpost Firewall, FW-1, ZoneAlarm.
Gravité : 2/4.
Conséquences : création/modification de données, transit de données.
Provenance : serveur internet.
Date création : 02/11/2004.
Références : BID-11558, V6-FWWEBNOFILTRE, VIGILANCE-VUL-4484.

Description de la vulnérabilité

Les firewalls disposent d'options permettant de filtrer le code script situé dans les pages web.

Cependant, en construisant spécialement le document web, cette protection peut être contournée. Par exemple, les cas suivants ne sont pas correctement gérés par certains firewalls :
 - présence du caractère 0x0B (tabulation verticale)
 - présence du caractère 0x00 (terminateur de chaîne C)
 - encodage UTF-7 (Unicode)
 - encodage UTF-16 (Unicode)
 - utilisation de valeurs de Content-Type spéciales
 - utilisation de expression()
 - inclusion de script dans les feuilles de style
 - inclusion de script dans les documents MHT

Un attaquant peut donc créer des documents web contournant les restrictions d'exécution de scripts.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité informatique CVE-2004-2679

Détection de la version de Firewall-1

Synthèse de la vulnérabilité

Lorsque le support IPSec est activé, un attaquant distant autorisé à se connecter peut obtenir la version de Firewall-1.
Produits concernés : FW-1.
Gravité : 1/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Date création : 28/06/2004.
Références : BID-10558, CVE-2004-2679, V6-FW1VPNVENDORIDINFO, VIGILANCE-VUL-4239.

Description de la vulnérabilité

La négociation des clés cryptographiques nécessaires à l'établissement d'un flux IPSec s'effectue à l'aide du protocole IKE.

Un paquet IKE peut contenir des données de type VendorID indiquant le type du client ou du firewall, afin par exemple de négocier des fonctionnalités propriétaires.

Lorsque Firewall-1 reçoit un paquet IKE:
 - de la part d'un client autorisé à créer une session VPN, et
 - possédant un VendorID de f4ed19e0c114eb516faaac0ee37daf2807b4381f,
il répond alors en indiquant son VendorID suivi d'informations complémentaires. Ces informations contiennent notamment la version du produit ainsi que le niveau de correctifs appliqués.

Cette vulnérabilité permet ainsi à un attaquant d'obtenir des informations dans le but de préparer une intrusion.
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.