Podatności Suricata

W Suricata przed wersjami 7.0.13 i 8.0.2 występuje jednobajtowe przepełnienie sterty podczas odczytu przy logowaniu werdyktu w rekordach eve.alert i eve.drop, co może prowadzić do awarii. Wymaga to wypełnienia kolejki alertów na pakiet i następnie reguły pass.

Suricata w wersji 8.0.0 ma błąd w użyciu słowa kluczowego tls.subjectaltname, który może prowadzić do błędu segmentacji, gdy zdekodowany subjectaltname zawiera bajt NULL. Problem został naprawiony w wersji 8.0.1. Obejściem jest wyłączenie reguł używających tego słowa kluczowego.

W Suricata w wersji 8.0.0 reguły używające słowa kluczowego ldap.responses.attribute_type (które jest długie) z transformacjami mogą prowadzić do przepełnienia bufora stosu podczas uruchamiania Suricata lub podczas przeładowania reguł. Problem został naprawiony w wersji 8.0.1. Obejściem jest wyłączenie reguł z tym słowem kluczowym i transformacjami.

Suricata, silnik IDS, IPS i NSM opracowany przez OISF i społeczność Suricata, w wersjach 8.0.0 i wcześniejszych nieprawidłowo obsługuje słowo kluczowe entropy, gdy nie jest zakotwiczone do „sticky” bufora, co może prowadzić do błędu segmentacji. Problem został naprawiony w wersji 8.0.1. Aby obejść problem, użytkownicy mogą wyłączyć reguły używające słowa kluczowego entropy lub sprawdzić, czy są zakotwiczone do sticky bufora.

Suricata w wersjach 7.0.11 i poniżej oraz 8.0.0 jest podatna na obejście detekcji, gdy spreparowany ruch wysyła wiele pakietów SYN z różnymi numerami sekwencji w tym samym tuple przepływu, co może spowodować, że Suricata nie wykryje sesji TCP. W trybie IDS prowadzi to do obejścia detekcji i logowania, a w trybie IPS do zablokowania przepływu.

W Suricata przed wersją 6.0.13, złośliwy podmiot kontrolujący zewnętrzne źródło reguł może wykorzystać nazwę pliku zestawu danych do wywołania przejścia katalogu, co prowadzi do możliwości zapisu na lokalnym systemie plików. Problem ten został rozwiązany w wersji 6.0.13 poprzez wprowadzenie wymogu użycia opcji allow-absolute-filenames oraz allow-write w konfiguracji reguł zestawów danych.