Podatności Suricata

Suricata przed wersjami 8.0.3 i 7.0.14 zawiera podatność polegającą na przepełnieniu liczby całkowitej bez znaku, co może prowadzić do użycia po zwolnieniu (use-after-free) w pamięci sterty podczas generowania nadmiernej liczby alertów dla pojedynczego pakietu. Problem został naprawiony w wersjach 8.0.3 i 7.0.14.

Suricata, silnik systemu wykrywania i zapobiegania włamaniom sieciowym, może ulec awarii z powodu przepełnienia stosu. Podatność dotyczy wersji od 8.0.0 do 8.0.2, a wersja 8.0.3 zawiera poprawkę.

Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na nadmierne zużycie pamięci podczas parsowania ruchu DNP3. Specjalnie spreparowany ruch może spowolnić proces i doprowadzić do wyczerpania pamięci, co może skutkować zabiciem procesu przez OOM killer.

Suricata przed wersjami 8.0.3 i 7.0.14 ma podatność na wyczerpanie pamięci przez spreparowany ruch DCERPC, co może doprowadzić do zabicia procesu. Problem dotyczy DCERPC przez UDP, a prawdopodobnie także przez TCP i SMB. Łatka jest dostępna w wersjach 8.0.3 i 7.0.14.

W Suricata przed wersją 4.x istniała możliwość wywołania wielu zbędnych sprawdzeń zawartości spreparowanego ruchu sieciowego z powodu błędu w DetectEngineContentInspection. Silnik wyszukiwania nie zatrzymywał się, gdy nie znaleziono dopasowania, co prowadziło do przekroczenia limitu rekurencji inspekcji.

Suricata przed wersją 3.2.1 ma problem z ewakuacją defragmentacji IPv4 spowodowany brakiem sprawdzenia protokołu IP podczas dopasowywania fragmentów.

Podatność use-after-free w Suricata przed wersją 8.0.7 występuje w mechanizmie Http2ThreadMultiBuf, gdy transakcja jest analizowana przez reguły używające http.response_header z transformacją i bez niej.

W Suricata przed wersją 8.0.7 występuje pomyłka typu w DoH2, która może prowadzić do nieprawidłowego zwolnienia pamięci, ponieważ kod sprzątający dla stanu HTTP2 jest wykonywany mimo że faktyczny stan to HTTP1 (przy żądaniu DoH2 z przejściem z HTTP1 na HTTP2). Wymaga to włączenia app-layer.protocols.doh2, co jest domyślne w wersjach 8.x.

Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 zmiana protokołu podczas przetwarzania ruchu HTTP/2 może prowadzić do pomylenia typów, powodując awarię Suricaty i odmowę usługi.

W Suricata przed wersją 6.0.13, przeciwnik kontrolujący zewnętrzne źródło reguł Lua może być w stanie wykonać kod Lua. Problem ten został rozwiązany w wersji 6.0.13 poprzez wyłączenie Lua, chyba że opcja allow-rules jest ustawiona na true w sekcji konfiguracji bezpieczeństwa Lua.

Funkcja MemcmpLowercase w Suricata przed wersją 2.0.6 niewłaściwie pomija pierwszy bajt podczas porównań, co może umożliwić zdalnym atakującym obejście funkcji zapobiegania włamaniom za pomocą spreparowanego żądania HTTP.

Podatność w Suricata polega na tym, że funkcja w src/flow-hash.c może traktować przepływ IPv4 i IPv6 jako równe bez porównania rodziny adresów, gdy surowe słowa adresów, porty, protokół, VLAN, poziom rekurencji, urządzenie live i bucket hasha są zgodne. Umożliwia to ponowne użycie stanu przepływu IPv4 dla pakietu IPv6 lub odwrotnie, co może prowadzić do błędnego stanu flowbit, obejścia detekcji lub obejścia IP-only.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.6 przetwarzanie DNS-over-HTTP/2 w rust/src/http2/http2.rs zachowuje wcześniej przetworzone zawartości ramek DATA zamiast czyścić wewnętrzny bufor. Wiele ramek DATA z ustawioną flagą EndOfStream może zwiększyć bufor do limitu 65 KiB, powodując ponowne przetwarzanie wszystkich poprzednich zawartości, co prowadzi do kwadratowej złożoności CPU, degradacji przetwarzania pakietów, utraty widoczności monitorowania lub odmowy usługi. Problem naprawiono w wersji 8.0.6.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.6 parser HTTP/1 ogranicza pracę dekompresji na transakcję, ale nie ogranicza liczby małych bomb kompresyjnych brotli, które pojedynczy przepływ może przesłać. Przy włączonym response-body-decompress-layer-limit, powtarzane skompresowane odpowiedzi powodują, że ścieżki dekompresji w rust/htp wykonują kosztowną pracę dla każdej transakcji, degradując przetwarzanie pakietów i potencjalnie powodując utratę widoczności monitorowania lub odmowę usługi. Problem naprawiono w wersji 8.0.6.

W Suricata od wersji 8.0.0 do 8.0.6 lokalnie dostarczona reguła detekcji łącząca inspekcję ramek bez zawartości z przekształconym dopasowaniem bez zawartości może spowodować, że src/detect-engine-prefilter.c wybierze wiele silników ramek niebędących prefilterami. Wczytanie spreparowanej reguły, także w trybie testowym, może wywołać przepełnienie bufora sterty i awarię Suricaty.

W Suricata przed wersją 8.0.6 parser FTP w src/app-layer-ftp.c traktuje polecenie RETR lub STOR wysłane przed negocjacją PORT lub PASV jako krytyczny błąd warstwy aplikacji zamiast zdarzenia protokołu podlegającego odzyskaniu. Stan krytyczny wyłącza parsowanie FTP dla reszty przepływu TCP, umożliwiając późniejszym poleceniom ominięcie reguł i logowania; w trybie IPS przepływ jest zamiast tego odrzucany.

Suricata od wersji 8.0.0 do 8.0.6 zawiera podatność w parserze SIP, gdzie długości treści żądań i odpowiedzi są przechowywane w 16-bitowych polach. Treść większa niż 65 536 bajtów może zostać obcięta, co uniemożliwia pełną inspekcję ramek i pozwala na ominięcie wykrywania opartego na ramkach.

Podatność w Suricata dotyczy parsera SMB, który może przechowywać wymuszone transakcje na przepływach, gdzie ruch występuje tylko w jednym kierunku, co prowadzi do nieograniczonego stanu na przepływ i wyczerpania CPU oraz pamięci. Atakujący może wykorzystać to poprzez ciągły ruch SMB w jednym kierunku.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.5 do 8.0.6 parser FTP w src/app-layer-ftp.c może kontynuować alokację transakcji po osiągnięciu app-layer.protocols.ftp.max-tx podczas przetwarzania jednego dużego fragmentu danych poleceń FTP. Przerośnięta lista transakcji jest wielokrotnie przetwarzana z kwadratową złożonością po zdarzeniu too_many_transactions, co pozwala spreparowanemu ruchowi FTP na degradację przetwarzania pakietów, zmniejszenie widoczności monitorowania lub spowodowanie odmowy usługi. Problem naprawiono w wersji 8.0.6.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.6 funkcja AppLayerParserSetTransactionInspectId() w src/app-layer-parser.c używa odwróconej ochrony i oznacza tylko już sprawdzone transakcje jako sprawdzone. Na przepływach przekazanych przez regułę pass lub politykę pass-the-flow, wykrywanie jest pomijane, więc ukończone transakcje pozostają nieoznaczone, nigdy nie są zwalniane i są wielokrotnie skanowane. Lista per-flow może rosnąć bez ograniczeń z kwadratowym kosztem czyszczenia, powodując wyczerpanie CPU i pamięci. Problem naprawiono w wersji 8.0.6.

Podatność w Suricata dotyczy parsera MIME SMTP, który nie resetuje w pełni stanu podczas przetwarzania zagnieżdżonych wiadomości message/rfc822. Może to pozwolić na obejście detekcji opartych na file.data, file.name lub wyodrębnionych URL-ach.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 7.0.13 do 7.0.17 dekoder MIME quoted-printable w src/util-decode-mime.c może odczytać jeden bajt poza buforem sterty, gdy sekwencja ucieczki quoted-printable jest podzielona między fragmenty ruchu, a następny fragment zawiera dokładnie jeden bajt. Spreparowany ruch SMTP może wywołać odczyt poza zakresem i spowodować awarię Suricata, gdy włączone jest dekodowanie MIME decode-quoted-printable. Problem naprawiono w wersji 7.0.17.

Suricata to system wykrywania i zapobiegania włamaniom sieciowym. W wersjach od 7.0.0 do 7.0.17 oraz 8.0.6 parser MQTT w rust/src/mqtt/mqtt.rs pozwala na nieograniczone dołączanie komunikatów PUBREC lub PUBREL do jednej transakcji. Specjalnie spreparowany ruch MQTT może powodować niekontrolowany wzrost stanu transakcji, zużywając CPU i pamięć, co prowadzi do spowolnienia lub odmowy usługi. Problem naprawiono w wersjach 8.0.6 i 7.0.17.

Suricata od wersji 8.0.0 do 8.0.6 zawiera podatność w src/datasets-context-json.c, gdzie zakłada się, że skonfigurowany klucz value_key w zbiorze danych JSON lub NDJSON jest ciągiem znaków. Dostarczenie wartości nie będącej ciągiem znaków może spowodować wyłuskanie wskaźnika NULL podczas uruchamiania, testowania konfiguracji lub przeładowania reguł, co prowadzi do awarii Suricaty.

Suricata to system wykrywania i zapobiegania włamaniom sieciowym. Przed wersjami 7.0.17 i 8.0.6 logika instalacji usługi Windows w src/win32-service.c może przekazać niecytowaną ścieżkę ImagePath do funkcji CreateServiceA. Gdy Suricata jest zainstalowana w ścieżce zawierającej spacje, a wcześniejszy komponent ścieżki jest zapisywalny przez lokalnego atakującego z niskimi uprawnieniami, system Windows może wykonać program kontrolowany przez atakującego jako LocalSystem, co prowadzi do lokalnej eskalacji uprawnień. Problem naprawiono w wersjach 8.0.6 i 7.0.17.

Suricata przed wersjami 7.0.17 i 8.0.6 zawiera podatność w dekompresji HTTP SWF, gdy włączona jest nie domyślna funkcja swf-decompression i niebezpieczna głębokość dekompresji. Alokacja pamięci może użyć skonfigurowanej głębokości zamiast ograniczyć ją do rzeczywistych potrzeb danych pliku Flash, co może prowadzić do przepełnienia bufora sterty związanego z liczbami całkowitymi i awarii Suricaty.

Suricata w wersjach od 8.0.0 do 8.0.6 ma podatność w parserach DHCP i RDP, gdzie transakcje bezstanowe są tworzone bez rejestrowania kierunku pakietu za pomocą AppLayerTxData::for_direction(). Sensor obserwujący tylko jeden kierunek nie może oznaczyć niewidzianego kierunku jako sprawdzonego ani zwolnić ukończonych transakcji, co prowadzi do niekontrolowanego wzrostu listy transakcji.

Suricata przed wersjami 7.0.17 i 8.0.6 ma podatność w src/ippair.c, gdzie pary adresów IPv4 i IPv6 mogą kolidować w haszu IPPair, ponieważ nie porównywano rodziny adresów IP przed ponownym użyciem stanu IPPair. Może to zastosować stan z jednej rodziny IP do drugiej dla xbits track ip_pair, oczekiwań danych FTP oraz, w linii 7.0, dla reguł thresholding, detection_filter i rate_filter używających track by_both.

Suricata (system IDS/IPS i monitorowania bezpieczeństwa sieci) w wersjach od 8.0.0 do przed 8.0.5 może zakleszczyć się w kodzie defragmentacji IP podczas przetwarzania ruchu fragmentowanego zawierającego enkapsulowany protokół tunelowy, którego ładunek sam jest fragmentowany. Wersja 8.0.5 zawiera poprawkę.

Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.5 reguła Lua rejestrująca zbyt wiele zmiennych przepływu może uszkodzić stan detekcji Lua i obejść ograniczony sandbox Lua. Wymaga to załadowania podatnego skryptu lub reguły Lua.

Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Przed wersjami 7.0.16 i 8.0.5 stan parsera IKEv2 mógł rosnąć bez ograniczeń podczas przechowywania transformacji klienta. Powtarzany spreparowany ruch UDP może powodować nadmierne zużycie pamięci przez Suricatę.

Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.5 stan transakcji LDAP mógł przechowywać nieograniczoną liczbę odpowiedzi. Ponieważ LDAP może być przetwarzany przez UDP, spreparowany ruch może powodować nadmierne zużycie pamięci przez Suricatę.

Suricata, silnik IDS/IPS i monitoringu bezpieczeństwa sieci, w wersjach przed 7.0.16 i 8.0.5 pozwala złośliwej regule potencjalnie nadpisać dowolny plik w systemie plików podczas wczytywania lub przeładowania reguł. Wersje 7.0.16 i 8.0.5 naprawiają ten problem. Dostępne są obejścia: wstępne przetwarzanie reguł load+save w celu zablokowania bezwzględnych nazw plików, użycie obniżania uprawnień Suricaty oraz konfiguracja landlock w suricata.yaml.

W Suricata przed wersjami 7.0.16 i 8.0.5 struktury stanu parsera NFS nie były wystarczająco ograniczone. Spreparowany ruch NFS może powodować nadmierne zużycie pamięci przez Suricatę, co może prowadzić do odmowy usługi.

W Suricata przed wersjami 7.0.16 i 8.0.5 mechanizm reassembly DNP3 mógł buforować dane bez wystarczających ograniczeń na poziomie parsera. Spreparowany ruch DNP3 może powodować nadmierne zużycie pamięci przez Suricatę, co może prowadzić do odmowy usługi.

W Suricata przed wersjami 7.0.16 i 8.0.5 wyszukiwanie trackera defragmentacji IP nie weryfikowało, czy istniejący tracker używa tej samej rodziny adresów IP co przetwarzany pakiet. W wyniku spreparowanego ruchu fragmentowanego IPv4/IPv6 fragment IPv6 mógł zostać powiązany z trackerem defragmentacji IPv4, co może prowadzić do zdalnie wywołanego crashu i odmowy usługi.

Suricata w wersjach przed 7.0.16 i 8.0.5 zawiera błąd przepełnienia bufora sterty podczas ładowania sygnatur. Spreparowana reguła używająca składni ramek z mieszaną wielkością liter może wywołać przepełnienie podczas parsowania i ładowania reguł.

W Suricata przed wersjami 7.0.16 i 8.0.5 podczas przetwarzania treści odpowiedzi HTTP mogło dochodzić do wielokrotnego, kosztownego parsowania dużych nagłówków Content-Disposition. Spreparowany ruch HTTP może powodować nadmierne zużycie CPU i odmowę usługi.

Suricata to sieciowy system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. W wersjach od 8.0.0 do 8.0.5, gdy pewne transformacje detekcji są łączone w łańcuch, potok transformacji dekompresji może odczytywać z bufora inspekcji po jego realokacji i zwolnieniu. Problem występuje podczas przetwarzania ruchu sieciowego, ale wymaga złośliwej reguły, ponieważ Suricata ulegnie awarii niezależnie od ruchu.

Suricata to sieciowy system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 pomocnik bufora inspekcji Suricata może pozostawić wskaźnik inspekcji odwołujący się do zwolnionej pamięci po tym, jak łańcuchowa transformacja spowodowała realokację bufora bazowego. Problem występuje podczas przetwarzania określonego ruchu sieciowego i wymaga konkretnej, ale nie złośliwej reguły.

Suricata to silnik IDS/IPS i monitoringu bezpieczeństwa sieci. W wersjach przed 7.0.16 i 8.0.5 ścieżka dekompresji HTTP/2 mogła zwiększać bufor treści odpowiedzi bez skutecznego górnego limitu. Spreparowany ładunek DATA HTTP/2 o wysokim współczynniku kompresji (np. gzip, deflate, brotli) mógł powodować nadmierną alokację pamięci podczas dekompresji.

Suricata to silnik IDS/IPS i monitoringu bezpieczeństwa sieci. W wersjach przed 7.0.16 pomocnik informacji o certyfikatach TLS w Lua mógł odwoływać się do pustych pól certyfikatu, gdy skrypt Lua żądał informacji o certyfikacie dla ruchu TLS, w którym brakowało niektórych pól. Spreparowany ruch TLS przetwarzany przez wdrożenie używające podatnych skryptów Lua mógł spowodować awarię Suricaty i odmowę usługi.

Suricata to system wykrywania i zapobiegania włamaniom oraz monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.5, gdy włączone jest wykonywanie reguł Lua, limit pamięci piaskownicy Lua nie był konsekwentnie egzekwowany dla nowych alokacji. Niektóre wzorce alokacji Lua mogły przekroczyć security.lua.max-bytes bez wywołania zamierzonego limitu pamięci, czyniąc skonfigurowany limit piaskownicy zawodnym. Wymaga to włączonych reguł Lua i załadowania podatnego skryptu/reguły.

Podatność w pakiecie suricata dla openSUSE Tumbleweed umożliwia użytkownikowi suricata eskalację uprawnień do roota poprzez podążanie za dowiązaniem symbolicznym UNIX.

W Suricata przed wersją 6.0.13, złośliwy podmiot kontrolujący zewnętrzne źródło reguł może wykorzystać nazwę pliku zestawu danych do wywołania przejścia katalogu, co prowadzi do możliwości zapisu na lokalnym systemie plików. Problem ten został rozwiązany w wersji 6.0.13 poprzez wprowadzenie wymogu użycia opcji allow-absolute-filenames oraz allow-write w konfiguracji reguł zestawów danych.