The Vigil@nce team watches public vulnerabilities impacting your computers, and then offers security solutions, a database and tools to fix them.

Computer vulnerabilities of IP Filter

computer vulnerability announce CVE-2017-1081

IP Filter: use after free via IP Fragment

Synthesis of the vulnerability

An attacker can force the usage of a freed memory area via an IP fragment sent to IP Filter, in order to trigger a denial of service, and possibly to run code.
Impacted products: FreeBSD, IP Filter, NetBSD, OpenBSD.
Severity: 3/4.
Consequences: denial of service on server, denial of service on service.
Provenance: internet client.
Creation date: 27/04/2017.
Identifiers: CVE-2017-1081, FreeBSD-SA-17:04.ipfilter, VIGILANCE-VUL-22577.

Description of the vulnerability

An attacker can force the usage of a freed memory area via an IP fragment sent to IP Filter, in order to trigger a denial of service, and possibly to run code.
Full Vigil@nce bulletin... (Free trial)

computer vulnerability CVE-2009-1476

IP Filter: buffer overflow of ippool

Synthesis of the vulnerability

When the ippool command of IP Filter is used, an attacker can execute code on the computer.
Impacted products: IP Filter, NetBSD.
Severity: 2/4.
Consequences: user access/rights, denial of service on service.
Provenance: internet server.
Creation date: 25/05/2009.
Identifiers: BID-35076, CVE-2009-1476, VIGILANCE-VUL-8735.

Description of the vulnerability

The ippool command of IP Filter uses a configuration file containing IP addresses lists. This configuration file can be loaded from a remote web server.

The load_http() function of the lib/load_http.c file downloads the configuration file located on the remote server. In order to do so, it creates an HTTP query like:
  GET http://the_server/the_file HTTP/1.0
  Host: the_server
The size of "http://the_server/the_file" cannot be longer than 512 bytes.

If the size of "the_server" is 504 bytes, the size of the previous query is 1041 bytes. However, the buffer containing this query has a size of 1024 bytes. An overflow thus occurs.

When the attacker can force the ippool command to use a long url, he can therefore execute code on the computer.
Full Vigil@nce bulletin... (Free trial)

vulnerability alert 2891

Disponibilité d'IP Filter 3.4.29

Synthesis of the vulnerability

Ce bulletin annonce la disponibilité d'IP Filter 3.4.29.
Impacted products: IP Filter, Unix (platform) ~ not comprehensive.
Severity: 1/4.
Consequences: unknown consequence, administrator access/rights, privileged access/rights, user access/rights, client access/rights, data reading, data creation/edition, data deletion, data flow, denial of service on server, denial of service on service, denial of service on client, disguisement.
Provenance: internet server.
Creation date: 29/08/2002.
Identifiers: V6-UNIXIPFILTER3429, VIGILANCE-VUL-2891.

Description of the vulnerability

Le logiciel IP Filter permet de transformer une machine en firewall. Pour chaque interface de la machine, l'utilisateur peut spécifier des règles de filtrage de paquets TCP/UDP/ICMP/IP/etc.

La version 3.4.29 d'IP Filter est disponible, et plusieurs correctifs ont été apportés, dont certains pourraient avoir un impact sur la sécurité:
 - problème de sécurité du proxy FTP
 - fuite mémoire

Les détails techniques concernant ces failles ou la manière de les exploiter ne sont pas actuellement connus.
Full Vigil@nce bulletin... (Free trial)

computer vulnerability announce CVE-2002-0514 CVE-2002-0515

Détection de la présence d'un firewall noyau

Synthesis of the vulnerability

En observant le TTL des paquets RST, un attaquant distant peut deviner le type de firewall installé.
Impacted products: FW-1, IP Filter, Unix (platform) ~ not comprehensive.
Severity: 1/4.
Consequences: data reading.
Provenance: internet server.
Number of vulnerabilities in this bulletin: 2.
Creation date: 02/04/2002.
Revision date: 04/04/2002.
Identifiers: BID-4401, BID-4403, CVE-2002-0514, CVE-2002-0515, V6-UNIXPACKETFILTERDETECT, VIGILANCE-VUL-2427.

Description of the vulnerability

Les programmes packetfilter (pf) ou ipfilter (ipf) sont des firewall qui s'installent sur un système afin de le protéger.

Le handshake d'une session TCP sur un port ouvert se déroule ainsi :
 - le client envoie un paquet avec le bit SYN actif
 - le serveur retourne un paquet SYN ACK
 - le client retourne un ACK

Le handshake d'une session TCP sur un port fermé se déroule ainsi :
 - le client envoie un paquet avec le bit SYN actif
 - le serveur retourne un paquet RST

Lorsque le firewall local est actif, et que le flux correspond à un flux bloqué, le paquet RST est retourné par le firewall. Sinon, le système d'exploitation est en charge de retourner le paquet RST.

Cependant, dans ces deux cas, la valeur du champ TTL (Time To Live) est différente. Par exemple :
 - OpenBSD :
     + TTL du système : 64
     + TTL de Packet Filter : 128
 - Solaris :
     + TTL du système : dépend du paquet reçu
     + TTL d'IP Filter : 60
     + TTL de Firewall-1 : 55
 - Linux :
     + TTL du système : 127
     + TTL d'IP Filter : 255

En observant le contenu de paquets RST, un attaquant distant peut donc :
 - déterminer le type du système
 - déterminer le type du firewall
 - déterminer la politique de filtrage (des ports fermés uniquement)

Cette vulnérabilité peut donc permettre à un attaquant de recueillir des informations dans le but de préparer une intrusion.
Full Vigil@nce bulletin... (Free trial)

vulnerability CVE-2001-0402

Contournement de IPFilter par paquets fragmentés

Synthesis of the vulnerability

Dans certaines conditions, il est possible de faire passer tous types de paquets à travers un firewall sous IPFilter.
Impacted products: FreeBSD, HP-UX, IP Filter, NetBSD.
Severity: 3/4.
Consequences: denial of service on client.
Provenance: internet server.
Creation date: 09/04/2001.
Revisions dates: 10/04/2001, 11/04/2001, 17/04/2001, 23/04/2001, 31/05/2001, 25/01/2002.
Identifiers: BID-2545, CERTA-2002-AVI-021, CIAC L-075, CVE-2001-0402, FreeBSD-SA-01:32, HP181, L-75, NetBSD 2001-007, NetBSD-SA2001-007, V6-UNIXIPFILTERFRAGCACHE, VIGILANCE-VUL-1500.

Description of the vulnerability

IPFilter est un logiciel qui permet de transformer une machine en firewall. Des versions sont disponibles pour *BSD, ainsi que pour Linux (noyaux inférieurs à 2.2.0). Pour chaque interface d'une machine, l'utilisateur peut spécifier des règles de filtrage de paquets TCP/UDP/ICMP/IP etc.

Une vulnérabilité dans le code en charge du traitement des paquets fragmentés a été détectée dans toutes les versions inférieures à 3.4.17 de IPFilter. Elle permet à un attaquant qui a accès à un port quelconque (TCP ou UDP) sur une machine protégée par un firewall IPFilter, d'accéder à l'ensemble des ports de la même machine.

Lors de la réception d'un paquet fragmenté, IPFilter vérifie les règles de filtrage pour prendre la décision de passer ou de bloquer celui-ci. Cette décision est ensuite stockée dans un "cache de décision" avec le numéro de fragment, le numéro de protocole, l'adresse source et l'adresse destination du fragment.
A la réception d'un nouveau fragment, on vérifie en premier le "cache de décision". Si une entrée correspondante est trouvée (même numéro de protocole, même adresse source et même adresse destination), la décision placée en cache est appliquée au fragment reçu. Sinon, on vérifie les règles de filtrage.

Pour chaque paquet TCP qu'il veut envoyer vers le port de son choix (appelé X), un attaquant doit forger un deuxième paquet TCP identique (même en-tête IP, même en-tête TCP, même contenu de paquet ) modifié avec un port destination autorisé (appelé Y).
Remarque: bien que la vulnérabilité porte sur le traitement des paquets fragmentés, la faille peut être exploitée même si une règle de filtrage bloque ce type de paquets.

Il est alors possible de faire passer tous types de données vers tous les ports d'une machine protégée par un firewall sous Ipfilter si on accès légitime à un seul port (par exemple port 80 pour HTTP, ou port 25 pour SMTP etc).
Full Vigil@nce bulletin... (Free trial)

computer vulnerability announce 1997

Déni de service d'ipfilter à cause de l'option fastroute

Synthesis of the vulnerability

En réalisant un traceroute vers un firewall ayant l'option fastroute active, un attaquant peut mener un déni de service sur celui-ci.
Impacted products: IP Filter.
Severity: 2/4.
Consequences: denial of service on server.
Provenance: internet server.
Creation date: 09/11/2001.
Identifiers: V6-UNIXIPFILTERTRACERTCRASH, VIGILANCE-VUL-1997.

Description of the vulnerability

Le logiciel IPFilter permet de transformer une machine en firewall. Pour chaque interface de la machine, l'utilisateur peut spécifier des règles de filtrage de paquets TCP/UDP/ICMP/IP/etc.

L'outil traceroute permet d'établir le chemin empruntés par des paquets. Pour cela, lorsque le mode UDP est employé, traceroute envoie des paquets dont :
 - le TTL est incrémenté (sa valeur maximale est 255)
 - le port destination est incrémenté à partir de 33434

Les règles de base permettent de bloquer (block) ou d'autoriser (pass) des flux entrant d'une interface vers une autre.
L'option "fastroute" permet de ne pas passer un paquet reçu à la pile IP du système et celui-ci est alors envoyé sur l'interface de sortie par ipfilter lui-même empéchant ainsi une diminution du TTL. La durée de vie de ce paquet ne sera ainsi pas diminuée lors du passage dans le firewall.

Lorsqu'une des règles d'IPFilter emploie :
 - l'option fastroute, et
 - autorise les flux UDP de type traceroute,
alors, la réception d'un paquet traceroute stoppe le firewall. Actuellement, la cause de cette vulnérabilité semble être liée à l'option fastroute.

Par le biais de cette vulnérabilité, un attaquant distant peut, en réalisant un traceroute sur le firewall, provoquer son arrêt dans le but de mener un déni de service de celui-ci.
Full Vigil@nce bulletin... (Free trial)
Our database contains other pages. You can request a free trial to read them.

Display information about IP Filter: