Podatności Snort

Podatność w Snort 2.9.7.0-WIN32 związana z niezaufaną ścieżką wyszukiwania umożliwia zdalnym atakującym wykonanie dowolnego kodu oraz przeprowadzenie ataków typu DLL hijacking poprzez złośliwy plik tcapi.dll znajdujący się w tym samym folderze co przetwarzany plik pcap.

Podatność w silniku detekcji Snort 3 w wielu produktach Cisco umożliwia nieuwierzytelnionemu, zdalnemu atakującemu spowodowanie ponownego uruchomienia silnika, co przerywa inspekcję pakietów. Wynika z niepełnego sprawdzania błędów podczas parsowania danych RPC.

Wiele produktów Cisco jest dotkniętych podatnością w silniku detekcji Snort 3, która może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie restartu silnika detekcji Snort 3, co przerywa inspekcję pakietów. Podatność wynika z niekompletnego sprawdzania błędów podczas parsowania pól Multicast DNS w nagłówku HTTP. Atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety HTTP przez ustanowione połączenie, co może prowadzić do warunku DoS.

Wiele produktów Cisco jest dotkniętych podatnością w silniku detekcji Snort 3, która może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie restartu silnika detekcji Snort 3, co przerywa inspekcję pakietów. Podatność wynika z błędu w logice normalizacji JSTokenizer podczas normalizacji JavaScript przez inspekcję HTTP. Atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety HTTP przez ustanowione połączenie, co może prowadzić do warunku DoS. JSTokenizer nie jest domyślnie włączony.

Wiele produktów Cisco jest dotkniętych podatnościami w funkcji VBA silnika Snort 3, które mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie awarii silnika detekcji Snort 3. Podatności wynikają z nieprawidłowego sprawdzania błędów podczas dekompresji danych VBA. Atakujący może wykorzystać te podatności, wysyłając spreparowane dane VBA do silnika detekcji Snort 3, co może prowadzić do nieoczekiwanego restartu i warunku DoS.

Wiele produktów Cisco jest dotkniętych podatnością w silniku detekcji Snort 3, która może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na spowodowanie restartu silnika detekcji Snort 3, co prowadzi do przerwy w inspekcji pakietów. Podatność wynika z niepełnego parsowania pakietów przychodzących podczas uzgadniania SSL. Atakujący może wykorzystać tę podatność, wysyłając spreparowane pakiety SSL. Udane wykorzystanie może pozwolić atakującemu na spowodowanie warunku odmowy usługi (DoS), gdy silnik detekcji Snort 3 nieoczekiwanie się restartuje.

W dekoderze HTTP Snort 3 występuje błąd w obsłudze bufora podczas parsowania pól MIME nagłówka HTTP, prowadzący do odczytu poza buforem. Nieuwierzytelniony zdalny atakujący może wysłać spreparowane pakiety HTTP, powodując ujawnienie danych lub restart silnika Snort 3.

Podatność w preprocesorze Modbus silnika detekcji Snort pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (DoS). Problem wynika z przepełnienia liczby całkowitej podczas przetwarzania ruchu Modbus. Atak polega na wysłaniu spreparowanego ruchu Modbus przez urządzenie.

Podatność w regułach geolokalizacji IP w Snort 3 umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie ograniczeń adresów IP. Wynika to z nieprawidłowego parsowania konfiguracji reguł geolokalizacji.

Wiele produktów Cisco jest dotkniętych podatnością w politykach kontroli dostępu Snort, która może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na ominięcie skonfigurowanych polityk na urządzeniu. Problem wynika z błędu logicznego podczas tworzenia polityk kontroli dostępu. Atakujący może wykorzystać tę podatność, nawiązując połączenie z urządzeniem, co może pozwolić na ominięcie reguł kontroli dostępu.

Podatność w regułach Snort w wielu produktach Cisco pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (DoS). Problem wynika z nieprawidłowego obsługiwania akcji Block with Reset lub Interactive Block with Reset, gdy reguła nie ma odpowiednich ograniczeń. Atak polega na wysłaniu spreparowanego pakietu IP.

Podatność w silniku detekcji Snort w wielu produktach Cisco podczas przetwarzania ruchu ICMP może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Problem wynika z nieprawidłowego zarządzania zasobami pamięci podczas przetwarzania pakietów ICMP. Atakujący może wysłać serię pakietów ICMP przez urządzenie, co może doprowadzić do wyczerpania zasobów i przeładowania urządzenia.

Podatność w silniku detekcji aplikacji Snort w wielu produktach Cisco umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanych polityk. Problem wynika z błędu w algorytmie detekcji. Atakujący może wysłać spreparowane pakiety, które przepłyną przez system, co pozwala na ominięcie polityk i dostarczenie złośliwego ładunku.

Podatność w TCP Fast Open (TFO) używanym z silnikiem detekcji Snort w wielu produktach Cisco umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej polityki plików dla HTTP. Problem wynika z nieprawidłowego wykrywania ładunku HTTP, jeśli jest on zawarty przynajmniej częściowo w uzgadnianiu połączenia TFO. Atakujący może wysłać spreparowane pakiety TFO z ładunkiem HTTP przez urządzenie, co pozwala na ominięcie polityki i dostarczenie złośliwego ładunku.

Podatność w silniku detekcji Snort w wielu produktach Cisco umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej polityki plików dla HTTP. Problem wynika z nieprawidłowej obsługi nagłówka zakresu HTTP. Atakujący może wysyłać spreparowane pakiety HTTP przez urządzenie, co pozwala na ominięcie polityki plików i dostarczenie złośliwego ładunku.

Podatność w silniku detekcji Snort w wielu produktach Cisco umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej polityki plików dla HTTP. Problem wynika z nieprawidłowego wykrywania zmodyfikowanych pakietów HTTP używanych w odpowiedziach chunked. Atakujący może wysłać spreparowane pakiety HTTP przez urządzenie, co pozwala na ominięcie polityki i dostarczenie złośliwego ładunku.

Podatność w silniku detekcji Snort w wielu produktach Cisco umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanych polityk plików. Problem wynika z błędów w sposobie obsługi określonych odpowiedzi HTTP przez silnik Snort. Atakujący może wysłać spreparowane pakiety HTTP, które przepłyną przez system, co pozwala na ominięcie polityk i dostarczenie złośliwego ładunku.

Snort w wersji 1.6, działający w trybie logowania pakietów w formacie ASCII lub w trybie IDS z włączonym dekodowaniem ASCII, umożliwia zdalnym atakującym wywołanie odmowy usługi (awaria) poprzez wysyłanie pakietów z protokołami nie-IP, których Snort nie rozpoznaje, co zademonstrowano skanem protokołów nmap.