{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":null,"closed_at":"2000-06-08","content":"## Description\n\nL'attaque consiste \u00e0 envoyer des paquets fragment\u00e9s ill\u00e9gaux (par\nexemple des paquets ICMP du type \\`\\`ping of death''), de fa\u00e7on \u00e0\nsaturer la journalisation de ce type d'attaque. L'activit\u00e9 du CPU est\nalors enti\u00e8rement d\u00e9di\u00e9e \u00e0 ce travail de trace.\n\nNotons que la r\u00e8gle par d\u00e9faut la plus restrictive (interdire tout) ne\nvous met pas \u00e0 l'abri de ce type d'attaque. De plus Firewall-1 n'est pas\nen mesure de tracer ce type d'attaque.\n\n## D\u00e9tection d'attaque\n\nEn consultant le fichier /var/log/messages sous Unix ou le NTEvent\nViewer sous NT, on constate une grande quantit\u00e9 de messages du type :\n\npacket\u00a0size\u00a0too\u00a0big\u00a0(65529)\u00a0from\u00a00x0g013c5f,\u00a0ip_p=1\n\nCes messages et une utilisation hors norme du temps CPU sont le signe\nque vous \u00eates sous une attaque du type d\u00e9ni de service par\nfragmentation.\n\n## Solution\n\nUne solution temporaire consiste \u00e0 supprimer la journalisation des\n\u00e9v\u00e9nements li\u00e9s au noyau de Firewall-1. Cette action ne touche en\nprincipe pas \u00e0 la journalisation des r\u00e8gles standards de filtrage. En\nrevanche certains messages relatifs \u00e0 la translation d'adresse risquent\nd'\u00eatre perdus.\n\n\\$FWDIR/bin/fw\u00a0ctl\u00a0debug\u00a0-buf\n\nCette commande peut \u00eatre ajout\u00e9e \u00e0 la commande de d\u00e9marage de Firewall-1\n(FWDIR/bin/fw/fwstart) afin de la prendre en compte lorsque le garde\nbarri\u00e8re est relanc\u00e9.\n\nIl est \u00e9galement possible d'utiliser un syst\u00e8me de d\u00e9tection d'intrusion\nqui bloquera la source \u00e9mettant des paquets fragment\u00e9s ill\u00e9gaux (cette\nsolution ne fonctionnant pas si l'adresse source est usurp\u00e9e).\n\n## R\u00e9f\u00e9rences\n\n-   Check Point IP Fragment-diven DoS Alert :\n\n```{=html}\n<!-- -->\n```\n    http://www.checkpoint.com/techsupport/alerts/ipfrag_dos.html\n\n-   FW-1 IP Fragmentation Vulnerability :\n\n```{=html}\n<!-- -->\n```\n    http://www.entract.com/~lspitz/fwtable.html\n\n-   Site de securityfocus :\n\n```{=html}\n<!-- -->\n```\n    http://securityfocus.com/vdb/\n\n-   Avis du CERT IST.\n-   Institute for security Technology Studies :\n\n```{=html}\n<!-- -->\n```\n    http://www.phoneboy.com/fw1\n","cves":[],"links":[],"reference":"CERTA-2000-ALE-006","revisions":[{"description":"version initiale.","revision_date":"2000-06-08T00:00:00.000000"}],"risks":[],"summary":null,"title":"Deni de service sous Firewall-1","vendor_advisories":[{"published_at":null,"title":"voir section 4","url":null}]}