Several issues were found in suricata, an intrusion detection and prevention tool.

CVE-2017-7177

Suricata has an IPv4 defragmentation evasion issue caused by lack of a check for the IP protocol during fragment matching.

CVE-2017-15377

It was possible to trigger lots of redundant checks on the content of crafted network traffic with a certain signature, because of DetectEngineContentInspection in detect-engine-content-inspection.c.
The search engine doesn't stop when it should after no match is found;
instead, it stops only upon reaching inspection-recursion- limit (3000 by default).

CVE-2018-6794

Suricata is prone to an HTTP detection bypass vulnerability in detect.c and stream-tcp.c. If a malicious server breaks a normal TCP flow and sends data before the 3-way handshake is complete, then the data sent by the malicious server will be accepted by web clients such as a web browser or Linux CLI utilities, but ignored by Suricata IDS signatures. This mostly affects IDS signatures for the HTTP protocol and TCP stream content; signatures for TCP packets will inspect such network traffic as usual.

TEMP-0856648-2BC2C9 (no CVE assigned yet)

Out of bounds read in app-layer-dns-common.c. On a zero size A or AAAA record, 4 or 16 bytes would still be read.

For Debian 8 'Jessie', these problems have been fixed in version 2.0.7-2+deb8u3.

We recommend that you upgrade your suricata packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

侵入検出および防止ツールのsuricataで、複数の問題が見つかりました。

CVE-2017-7177

Suricataには、フラグメントマッチング中のIPプロトコルのチェックの欠如によって引き起こされるIPv4デフラグメンテーション回避の問題があります。

CVE-2017-15377

detect-engine-content-inspection.cにDetectEngineContentInspectionがあるために、特定の署名を使用して細工されたネットワークトラフィックのコンテンツで多数の冗長チェックをトリガーすることが可能でした。
検索エンジンは、検索がヒットしなかった場合に停止すべきですが、停止しません。
代わりに、inspection-recursion-limit（デフォルトでは3000）に達した場合にのみ停止します。

CVE-2018-6794

Suricataは、detect.cおよびstream-tcp.cにおけるHTTP検出バイパスの脆弱性の影響を受けやすくなっています。3ウェイハンドシェイクが完了する前に、悪意のあるサーバーが通常のTCPフローを中断し、データを送信した場合、悪意のあるサーバーによって送信されたデータは、WebブラウザーやLinux CLIユーティリティなどのWebクライアントに受け入れられますが、Suricata IDSでは無視されます。これは主に、HTTPプロトコルとTCPストリームコンテンツのIDS署名に影響を与えます。 TCPパケットの署名は、通常通りこのようなネットワークトラフィックを検査します。

TEMP-0856648-2BC2C9（CVEは未割り当て）

app-layer-dns-common.cでの領域外読み取り。ゼロサイズのAまたはAAAAレコードで、依然として4または16バイトが読み取られます。

Debian 8「Jessie」では、これらの問題はバージョン2.0.7-2+deb8u3で修正されました。

suricataパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

入侵检测和防御工具 suricata 中发现多个问题。CVE-2017-7177 Suricata 在片段匹配过程中，缺少 IP 协议检查，可能会造成 IPv4 碎片整理逃避问题。CVE-2017-15377 由于 detect-engine-content-inspection.c 中的 DetectEngineContentInspection，可能会触发大量对带有特定签名的特制网络流量内容的冗余检查。当找不到匹配时，搜索引擎本应停止，但实际未停止；相反，只有当达到 inspection-recursion- limit（默认为 3000）时才会停止。CVE-2018-6794 Suricata 的 detect.c 和 stream-tcp.c 中存在 HTTP 检测绕过漏洞。如果在 3 向握手完成前，恶意服务器破坏了正常的 TCP 流并发送数据，那么 web 浏览器或 Linux CLI 实用工具等 web 客户端会接受恶意服务器发送的数据，但 Suricata IDS 签名会将其忽略。此漏洞主要影响 HTTP 协议和 TCP 流内容的 IDS 签名；TCP 数据包的签名会照常检查此类网络流量。TEMP-0856648-2BC2C9（尚未分配 CVE）app-layer-dns-common.c 中存在越界读取。在零大小的 A 或 AAAA 记录中，仍会读取 4 个字节或 16 个字节。对于 Debian 8“Jessie”，这些问题已在 2.0:7-2+deb8u3 版本中修复。我们建议您升级 suricata 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在入侵偵測與防護工具 suricata 中找到數個問題。CVE-2017-7177 Suricata 具有 IPv4 取消分割入侵問題，這是因為在分割相符期間缺少 IP 通訊協定檢查所導致。CVE-2017-15377 因為 detect-engine-content-inspection.c 中的 DetectEngineContentInspection，所以可能會對具有特定簽名的特製網路流量的內容觸發大量的冗餘檢查。未找到相符項目時，搜尋引擎未依預期停止運作；而是只會在達到 inspection-recursion- limit (預設為 3000) 時停止。CVE-2018-6794 在 detect.c 和 stream-tcp.c 中，Suricata 容易發生 HTTP 偵測繞過弱點。如果惡意伺服器中斷了正常的 TCP 流量並在三向交握完成之前傳送資料，則由惡意伺服器傳送的資料將被網頁用戶端 (例如網頁瀏覽器或 Linux CLI 公用程式) 接受，但被 Suricata IDS 簽名忽略。這主要會影響 HTTP 通訊協定和 TCP 串流內容的 IDS 簽名；TCP 封包的簽名將照常檢查此類網路流量。TEMP-0856648-2BC2C9 (尚未指定 CVE) 在 app-layer-dns-common.c 中發生超出邊界讀取。在大小為零的 A 或 AAAA 記錄上，仍將讀取 4 或 16 位元組。針對 Debian 8「Jessie」，這些問題已在 2.0.7-2~deb8u3 版本中修正。建議您升級 suricata 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
119425	Debian DLA-1603-1 : suricata security update	Nessus	Debian Local Security Checks	2018/12/6	2024/7/17	high
119425	Debian DLA-1603-1: suricataのセキュリティ更新	Nessus	Debian Local Security Checks	2018/12/6	2024/7/17	high
119425	Debian DLA-1603-1：suricata 安全更新	Nessus	Debian Local Security Checks	2018/12/6	2024/7/17	high
119425	Debian DLA-1603-1：suricata 安全性更新	Nessus	Debian Local Security Checks	2018/12/6	2024/7/17	high

偵測

搜尋 Plugin

high

high

high

high