You are here: Home » Aktuelle Meldungen » Meldung
Sorry, this page is not translated yet.
Meldung Nr: RUS-CERT-319

[Generic/IP Filter] IP Filter läßt beliebige Pakete durch
(2001-04-07 11:49:47+00) Druckversion

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2001/04/msg00115.html

Ein Fehler im fragment cache von IP Filter bewirkt, daß eingestellte Filterregeln ignoriert werden und unerwünschte Pakete den Filter passieren können.

Betroffene Systeme

  • Systeme, die auf IP Filter als Paketfilter/Firewall angewiesen sind.

Beschreibung
Falls ein Paket mit gespeicherten Informationen im fragment cache von IP Filter übereinstimmt, wird das Paket vom Filter durchgelassen, ohne die eingestellten Filterregeln zu konsultieren. Ein Angreifer kann über das Netz das fragment cache zunächst mit geeigneten Daten füllen und schließlich beliebige Pakete durch den Paketfilter bekommen, wodurch der Angreifer Zugang zu verwundbaren Diensten erhält, die durch den Filter geschützt werden sollen.

Gefahrenpotential
sehr hoch (die eingestellten Filterregeln sind praktisch wirkungslos).
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

  • Mit adb, gdb oder kgdb die Variable ipfr_inuse auf 1000000 setzen. Dadurch wird das Fragment-Cache abgeschaltet.
  • Patch aus der Ankündigung des Bugs einspielen.
  • Die aktualisierten IP-Filter-Versionen 3.3.22 bzw. 3.4.17 verwenden (Mirror).

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.