Sicherheitsloch in Intrusion-Prevention-Produkten von ISS
Eine Sicherheitslücke in den Produkten zur Erkennung und Abwehr von Angriffen auf Serversysteme und Netzwerke ermöglicht das Ausführen von beliebigem Code.
Der Sicherheitsdienstleister eEye, Entdecker der zuletzt gemeldeten Sicherheitslöcher in Windows, berichtet über mehrere Fehler in Produkten des Herstellers Internet Security Systems (ISS) zur Erkennung und Abwehr von Angriffen auf Serversysteme und Netzwerke -- so genannte Intrusion Detection/Prevention Systeme (IDS/IPS). Ein Angreifer kann mit manipulierten SMB-Paketen einen Heap Overflow provozieren und damit eigenen Code in den Speicher schreiben und mit Systemrechten ausführen. Nach Angaben von eEye reicht dazu ein einziges spezielles "SMB Session Setup AndX request"-Paket mit einem zu langen Benutzernamen (>300 Bytes) aus, wie es zur Authentifizierung an Servern verwendet wird. Da SMB-Verkehr in der Regel von Firewalls geblockt wird, ist ein Angriff eigentlich nur innerhalb eines Unternehmensnetzes denkbar.
Betroffen sind folgende Produkte:
- RealSecure Network 7.0, XPU 20.15 bis 22.9
- Real Secure Server Sensor 7.0 XPU 20.16 bis 22.9
- Proventia A Series XPU 20.15 bis 22.9
- Proventia G Series XPU 22.3 bis 22.9
- Proventia M Series XPU 1.3 bis 1.7
- RealSecure Desktop 7.0 eba bis ebh
- RealSecure Desktop 3.6 ebr bis ecb
- RealSecure Guard 3.6 ebr bis ecb
- RealSecure Sentry 3.6 ebr bis ecb
- BlackICE PC Protection 3.6 cbr bis ccb
- BlackICE Server Protection 3.6 cbr bis ccb
Der Hersteller ISS hat bereits Patches für die betroffenen Produkte zur Verfügung gestellt. In den dazugehörigen Change-Logs ist zur Beseitigung der Schwachstelle nur schlicht "Updated SMB Parser" eingetragen. In einem eigenen Advisory empfiehlt ISS seinen Kunden allerdings dringend die Updates zu installieren.
Ähnliche Schwachstellen in Netzwerksicherheitsprodukten hatte vor kurzem die Firma iDefense in der Firewall des Herstellers Checkpoint entdeckt, deren Application Intelligence eigentlich der erhöhten Sicherheit dienen sollte. Stattdessen war dort ein Fehler im HTTP-Parser enthalten, mit dem ein Angreifer beliebigen Code auf dem System ausführen konnte. Unter anderem mit den Gefahren durch Intrusion-Prevention-Funktionen auf Firewalls beschäftigt sich auch der heise-Security-Artikel: Besser vorbeugen.
Siehe dazu auch: (dab)
- Security Advisory von eEye
