Risques
- Déni de service
- Exécution de code arbitraire à distance
Systèmes affectés
Snort versions 1.8 à 2.0 beta.
Résumé
Une vulnérabilité présente dans le préprocesseur stream4 de snort peut être exploitée afin d'exécuter du code arbitraire à distance sur la machine utilisant une version vulnérable de snort.
Description
Stream4 est un préprocesseur utilisé par Snort, un outil de détection d'intrusions. Stream4 permet de réassembler les segments TCP avant la recherche de signatures d'attaques.
Au moyen de paquets judicieusement composés, un utilisateur mal intentionné peut exploiter une vulnérabilité de type débordement de mémoire présente dans le préprocesseur stream4 afin d'exécuter du code arbitraire sur la machine utilisant une version vulnérable de snort.
Contournement provisoire
En attendant d'installer une version non vulnérable, désactiver le préprocesseur stream4 dans le fichier snort.conf.
Solution
La version 2.0.0 disponible sur le site de snort corrige cette vulnérabilité.
Site de snort :
http://www.snort.org
Documentation
- Avis CA-2003-13 du CERT/CC http://www.cert.org/advisories/CA-2003-13.html
- Avis de sécurité "Integer overflow in Stream4" de snort : http://www.snort.org/advisories/snort-2003-04-16-1.txt
- Bulletin de sécurité CORE-2003-0307 de Core Security Technologies : http://www.coresecurity.com/common/showdoc.php?idx=313&idxseccion=10
