Debian DSA-5354-1:snort - 安全性更新

high Nessus Plugin ID 171628

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機上安裝的多個套件受到 dsa-5354 公告中提及的多個弱點影響。

- 多個 Cisco 產品受到 Snort 偵測引擎中的弱點影響,未經驗證的遠端攻擊者可藉以繞過已設定的 HTTP 檔案原則。此弱點是因為未正確偵測區塊回應中使用的已修改 HTTP 封包所致。攻擊者可透過受影響的裝置傳送特製 HTTP 封包,進而惡意利用此弱點。若攻擊成功,攻擊者可繞過為 HTTP 封包設定的檔案原則,並傳送惡意承載。
(CVE-2020-3299)

- 多個 Cisco 產品受到 Snort 偵測引擎中的弱點影響,未經驗證的遠端攻擊者可藉以在受影響的系統上繞過已設定的檔案原則。此弱點是因為 Snort 偵測引擎處理特定 HTTP 回應的方式存在錯誤所導致。攻擊者可藉由傳送特製 HTTP 封包至受影響的系統而惡意利用此弱點。若惡意利用得逞,攻擊者即可繞過設定的檔案原則,並將惡意承載傳送至受保護的網路。(CVE-2020-3315)

- 多個 Cisco 產品受到 Snort 偵測引擎中的弱點影響,未經驗證的遠端攻擊者可藉以繞過已設定的 HTTP 檔案原則。此弱點是因為未正確處理 HTTP 範圍標頭所致。攻擊者可透過受影響的裝置傳送特製 HTTP 封包,進而惡意利用此弱點。若攻擊成功,攻擊者可繞過為 HTTP 封包設定的檔案原則,並傳送惡意承載。(CVE-2021-1223)

- 當與 Snort 偵測引擎結合使用時,多個 Cisco 產品受到 TCP 快速打開 (TFO) 弱點的影響,未經驗證的遠端攻擊者可藉以繞過已設定的 HTTP 檔案原則。如果 HTTP 承載至少部分包含在 TFO 連線交握中,則該弱點是因為未正確偵測 HTTP 承載所致。攻擊者可透過受影響的裝置傳送帶有 HTTP 承載的特製 TFO 封包,進而惡意利用此弱點。若攻擊成功,攻擊者可繞過為 HTTP 封包設定的檔案原則,並傳送惡意承載。(CVE-2021-1224)

- 多個 Cisco 產品受到 Snort 應用程式偵測引擎中的弱點影響,未經驗證的遠端攻擊者可藉以在受影響的系統上繞過已設定的原則。
此弱點是因為偵測演算法中的瑕疵所導致。攻擊者可藉由傳送特製封包至受影響的系統而惡意利用此弱點。若惡意利用得逞,攻擊者即可繞過設定的原則,並將惡意承載傳送至受保護的網路。(CVE-2021-1236)

- 多個 Cisco 產品受到 Snort 偵測引擎中的弱點影響,未經驗證的遠端攻擊者可藉以繞過已設定的 HTTP 檔案原則。此弱點是因為未正確處理特定 HTTP 標頭參數所致。攻擊者可透過受影響的裝置傳送特製 HTTP 封包,進而惡意利用此弱點。若攻擊成功,攻擊者可繞過為 HTTP 封包設定的檔案原則,並傳送惡意承載。(CVE-2021-1495)

- Cisco Web Security Appliance (WSA)、Cisco Firepower Threat Defense (FTD) 和 Snort 偵測引擎受到伺服器名稱識別 (SNI) 要求篩選中的弱點影響,未經驗證的遠端攻擊者可利用此弱點繞過受影響裝置上的篩選技術,並洩漏受害主機中的資料。造成此弱點的原因在於,應用程式對 SSL 交握的篩選不足。攻擊者可利用此弱點,使用 SSL 用戶端 hello 封包中的資料與外部伺服器通訊。若攻擊成功,攻擊者可以在遭入侵的主機上執行命令與控制攻擊,並執行其他資料洩漏攻擊。(CVE-2021-34749)

- 多個 Cisco 產品受到 Snort 偵測引擎處理 ICMP 流量的方式中的弱點影響,未經驗證的遠端攻擊者可藉以在受影響的裝置上造成拒絕服務 (DoS) 情況。此弱點是因為 Snort 偵測引擎處理 ICMP 封包時不當管理記憶體資源所致。攻擊者可透過受影響的裝置傳送一系列 ICMP 封包,進而惡意利用此弱點。若成功利用此弱點,攻擊者可能會耗盡受影響裝置上的資源,從而造成裝置重新載入。(CVE-2021-40114)

- 多個 Cisco 產品受到 Snort 偵測引擎中的弱點影響,未經驗證的遠端攻擊者可藉以繞過已設定的 HTTP 檔案原則。(CVE-2021-1494)

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

升級 snort 套件。

針對穩定的發行版本 (bullseye),已在 2.9.20-0+deb11u1 版本中修正這些問題。

另請參閱

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1021276

https://security-tracker.debian.org/tracker/source-package/snort

https://www.debian.org/security/2023/dsa-5354

https://security-tracker.debian.org/tracker/CVE-2020-3299

https://security-tracker.debian.org/tracker/CVE-2020-3315

https://security-tracker.debian.org/tracker/CVE-2021-1223

https://security-tracker.debian.org/tracker/CVE-2021-1224

https://security-tracker.debian.org/tracker/CVE-2021-1236

https://security-tracker.debian.org/tracker/CVE-2021-1494

https://security-tracker.debian.org/tracker/CVE-2021-1495

https://security-tracker.debian.org/tracker/CVE-2021-34749

https://security-tracker.debian.org/tracker/CVE-2021-40114

https://packages.debian.org/source/bullseye/snort

Plugin 詳細資訊

嚴重性: High

ID: 171628

檔案名稱: debian_DSA-5354.nasl

版本: 1.0

類型: local

代理程式: unix

已發布: 2023/2/18

已更新: 2023/2/18

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 3.7

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS 評分資料來源: CVE-2021-34749

CVSS v3

風險因素: High

基本分數: 8.6

時間分數: 7.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:snort, p-cpe:/a:debian:debian_linux:snort-common, p-cpe:/a:debian:debian_linux:snort-common-libraries, p-cpe:/a:debian:debian_linux:snort-doc, p-cpe:/a:debian:debian_linux:snort-rules-default, cpe:/o:debian:debian_linux:11.0

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2023/2/18

弱點發布日期: 2020/5/6

參考資訊

CVE: CVE-2020-3299, CVE-2020-3315, CVE-2021-1223, CVE-2021-1224, CVE-2021-1236, CVE-2021-1494, CVE-2021-1495, CVE-2021-34749, CVE-2021-40114

IAVA: 2020-A-0497, 2021-A-0027, 2021-A-0249, 2021-A-0393