LINUX.ORG.RU

Сканирование системы на уязвимости

 , ,


0

1

ДД!

Просканировали у нас проверяющие органы систему и нашли уязвимости... ПО обновлено до последнего стабильного из репов debian... Что с этим делом делать? Вот такие уязвимости.

1 ------------------------------------

Product detection result: cpe:/a:proftpd:proftpd:1.3.5 by CVE-2015-3306 (OID: CVE-2015-3306) The mod_copy module in ProFTPD 1.3.5 allows remote attackers to read and write to arbitrary files via the site cpfr and site cpto commands.

2 ------------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-11142 (OID: CVE-2017-11142) In PHP before 5.6.31, 7.x before 7.0.17, and 7.1.x before 7.1.3, remote attackers could cause a CPU consumption denial of service attack by injecting long form variables, related to main/php_variables.c.

3 ------------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-12933 (OID: CVE-2017-12933) The finish_nested_data function in ext/standard/var_unserializer.re in PHP before 5.6.31, 7.0.x before 7.0.21, and 7.1.x before 7.1.7 is prone to a buffer over-read while unserializing untrusted data. Exploitation of this issue can have an unspecified impact on the integrity of PHP.

4 ------------------------------------

Product detection result: cpe:/a:gnu:gzip:1.2.4 by CVE-2001-1228 (OID: CVE-2001-1228) Buffer overflows in gzip 1.3x, 1.2.4, and other versions might allow attackers to execute code via a long file name, possibly remotely if gzip is run on an FTP server.

5 ------------------------------------

Product detection result: cpe:/a:gnu:gzip:1.2.4 by CVE-2009-2624 (OID: CVE-2009-2624) The huft_build function in inflate.c in gzip before 1.3.13 creates a hufts (aka huffman) table that is too small, which allows remote attackers to cause a denial of service (application crash or infinite loop) or possibly execute arbitrary code via a crafted archive. NOTE: this issue is caused by a CVE-2006-4334 regression.

6 ------------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-11628 (OID: CVE-2017-11628) In PHP before 5.6.31, 7.x before 7.0.21, and 7.1.x before 7.1.7, a stack-based buffer overflow in the zend_ini_do_op() function in Zend/zend_ini_parser.c could cause a denial of service or potentially allow executing code. NOTE: this is only relevant for PHP applications that accept untrusted input (instead of the system's php.ini file) for the parse_ini_string or parse_ini_file function, e.g., a web application for syntax validation of php.ini directives.

7 -------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-11145 (OID: CVE-2017-11145) In PHP before 5.6.31, 7.x before 7.0.21, and 7.1.x before 7.1.7, an error in the date extension's timelib_meridian parsing code could be used by attackers able to supply date strings to leak information from the interpreter, related to ext/date/lib/parse_date.c out-of-bounds reads affecting the php_parse_date function. NOTE: the correct fix is in the e8b7698f5ee757ce2c8bd10a192a491a498f891c commit, not the bd77ac90d3bdf31ce2a5251ad92e9e75 gist.

8 ------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-11143 (OID: CVE-2017-11143) In PHP before 5.6.31, an invalid free in the WDDX deserialization of boolean parameters could be used by attackers able to inject XML for deserialization to crash the PHP interpreter, related to an invalid free for an empty boolean element in ext/wddx/wddx.c.

9 ------------------------------

Product detection result: cpe:/a:gnu:gzip:1.2.4 by CVE-2005-1228 (OID: CVE-2005-1228) Directory traversal vulnerability in gunzip -N in gzip 1.2.4 through 1.3.5 allows remote attackers to write to arbitrary directories via a .. (dot dot) in the original filename within a compressed file.

10 ------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-11144 (OID: CVE-2017-11144) In PHP before 5.6.31, 7.x before 7.0.21, and 7.1.x before 7.1.7, the openssl extension PEM sealing code did not check the return value of the OpenSSL sealing function, which could lead to a crash of the PHP interpreter, related to an interpretation conflict for a negative number in ext/openssl/openssl.c, and an OpenSSL documentation omission.

11----------------------------- Product detection result: cpe:/a:openssl:openssl:1.1.0f by CVE-2017-3735 (OID: CVE-2017-3735) While parsing an IPAddressFamily extension in an X.509 certificate, it is possible to do a one-byte overread. This would result in an incorrect text display of the certificate. This bug has been present since 2006 and is present in all versions of OpenSSL since then.

12 ------------------------------

Product detection result: cpe:/a:php:php:5.6.30 by CVE-2017-7890 (OID: CVE-2017-7890) The GIF decoding function gdImageCreateFromGifCtx in gd_gif_in.c in the GD Graphics Library (aka libgd), as used in PHP before 5.6.31 and 7.x before 7.1.7, does not zero colorMap arrays before use. A specially crafted GIF image could use the uninitialized tables to read ~700 bytes from the top of the stack, potentially disclosing sensitive information.

13 ------------------------------

Product detection result: cpe:/a:gnu:gzip:1.2.4 by CVE-2005-0988 (OID: CVE-2005-0988) Race condition in gzip 1.2.4, 1.3.3, and earlier, when decompressing a gzipped file, allows local users to modify permissions of arbitrary files via a hard link attack on a file while it is being decompressed, whose permissions are changed by gzip after the decompression is complete.

Я правильно понимаю?

  • 4,5,9,13 gzip находится здесь: /usr/lib/klibc/bin/gzip и как-то обновить его невозможно?
  • 2. сделать проверку на длинну переменных?
  • 3.php - сериализация, просто не пользоваться этой функцией?
  • 6. - не знаю че делать
  • 7. - не пользуемся функцией
  • 8. - не пользуемся функцией
  • 10. не знаю че делать...
  • 11. тут интересно все - с шестого года знают, но не решают. Это не такая сильная уязвимость?
  • 12. gd_gif_in.c - убрать gd из системы т.к. не пользуемся?

не пользуемся функцией

Важно то, может ли ею воспользоваться взломщик. Доказать, что нет, сложнее, чем обновиться.

обновлено до последнего стабильного

Если поставщик не бэкпортит безопасность, этого мало. Если бэкпортит - всяко бывает, нужно проверять каждую cve-ху, что достаёт неимоверно. Помогает дистрибутив, про исправления которого сканер знает сам.

убрать из системы

Обязательно. Лишний софт = лишние вопросы. Правда, оно не всегда просто, очень странные зависимости встречаются.

не знаю че делать

В совсем запущенных случаях можно официально убедить начальство, что исправление дороже, чем последствия пролома, и забить.

DonkeyHot ★★★★★ ()

Ну если взять ту же 1ю.

http://metadata.ftp-master.debian.org/changelogs/main/p/proftpd-dfsg/proftpd-...

proftpd-dfsg (1.3.5-2) unstable; urgency=high

  * proftpd-dev: Depend on libtool-bin: merged NMU, thanks Doko.
    (closes: #761795) 
  * Add CVE-2015-3306 patch.
    Unauthenticated copying of files via SITE CPFR/CPTO allowed by mod_copy.
    (closes: #782781)

 -- Francesco Paolo Lovergine <frankie@debian.org>  Thu, 23 Apr 2015 14:11:19 +0200

https://github.com/t0kx/exploit-CVE-2015-3306

В стейбле - 1.3.5b-4.

Так что или кто-то криво «сканировал», или у кого-то не стейбл. Но если у вас такое имеет место быть, то жопа же :)

vasily_pupkin ★★★★★ ()

•11. тут интересно все - с шестого года знают, но не решают. Это не такая сильная уязвимость?

Пишут что закрыли - https://www.openssl.org/news/secadv/20171102.txt


Malformed X.509 IPAddressFamily could cause OOB read (CVE-2017-3735)
====================================================================

Severity: Low

This issue was previously announced in security advisory
https://www.openssl.org/news/secadv/20170828.txt, but the fix has not previously
been included in a release due to its low severity.

OpenSSL 1.1.0 users should upgrade to 1.1.0g
OpenSSL 1.0.2 users should upgrade to 1.0.2m

Samsky ()
  1. https://security-tracker.debian.org/tracker/CVE-2015-3306
  2. https://security-tracker.debian.org/tracker/CVE-2017-11142 - тут я не очень понял: есть ли php5 для Stretch и пофикшен ли он. В любом случае, с php5 давно пора слезать.
  3. https://security-tracker.debian.org/tracker/CVE-2017-12933 - php просто не нужен, любой версии. Пишите на нормальных ЯП =).
  4. https://www.debian.org/security/2002/dsa-100 - Отремонтировано миллиард лет назад. Как проверяльщики удалённо проверяли версию gzip?
  5. https://security-tracker.debian.org/tracker/CVE-2009-2624 - Туда же, в gzip.
  6. https://security-tracker.debian.org/tracker/CVE-2017-11628 - Опять php...
  7. https://security-tracker.debian.org/tracker/CVE-2017-11145 - php...
  8. https://security-tracker.debian.org/tracker/CVE-2017-11143 - php =(
  9. https://security-tracker.debian.org/tracker/CVE-2005-1228 - Опять какой-то левый gzip.
  10. https://security-tracker.debian.org/tracker/CVE-2017-11144 - Если тебе кто-то скажет, что на php можно писать - сразу бей в дицо!
  11. https://security-tracker.debian.org/tracker/CVE-2017-3735 - Починено в обновлениях security. Если ты их не отключил.
  12. https://security-tracker.debian.org/tracker/CVE-2017-7890 - Не очень понятно: починили (libgd2) или нет (php). Но это опять php...
  13. https://security-tracker.debian.org/tracker/CVE-2005-0988 - gzip и опять мимо. Нет сейчас настолько древних версий.

Что я бы сказал по этому поводу:

  • В дебиане любят фиксить баги без изменения версии сервиса, так что с proftpd скорее всего всё нормально. Для уверенности проверь, что у тебя стоит свежий пакет, и что демон proftpd запускается именно из бинарника, установленного из этого пакета. А то мало ли, кто-то руками собрал и запустил.
  • С gzip - не понятно. Узнавай у проверяющих откуда они взяли версию gzip на твоём сервере. Хотя скорее всего они просто запустили какую-нибудь мегатулзу и сами не очень понимают что это и как оно работает.
  • PHP - это плохо. Особенно - PHP 5. Но другие версии - это тоже плохо. Не надо использовать PHP, если нет очень веских причин на то. Особенно - PHP 5.
  • Проверь: как именно в системе установлен PHP 5. ИМХО в стабильном дебиане эта версия уже не поддерживается и она просто осталась от старого релиза.
  • Ещё в тему PHP: не факт, что непофикшенные баги в PHP тебя аффектят. Это может зависит от конкретного кода, а так же каких-нибудь других условий (используемые настройки, модули, etc). Это нужно отдельно проверять.
mironov_ivan ★★★★★ ()

Далее...

4,5,9,13 gzip находится здесь: /usr/lib/klibc/bin/gzip и как-то обновить его невозможно?

Это klibc. Эта версия не должна использоваться нигде кроме initramfs, так что никакие уязвимости в этом gzip'е (если они реально есть) использовать не получится при всём желании.

2. сделать проверку на длинну переменных?

В исходниках самого php?

10. не знаю че делать...

Если вы не используете openssl прямо из php (а вы скорее всего это не делаете), то ничего делать не нужно.

11. тут интересно все - с шестого года знают, но не решают. Это не такая сильная уязвимость?

С шестого года - появилась бага. А узнали только в конце лета 2017-го. Уже починили, а судя по описанию - не опасно.

12. gd_gif_in.c - убрать gd из системы т.к. не пользуемся?

Я не пишу на php, но... Если вы не пользуетесь функциями gd, то эта бага вас вообще не должна касаться. Можете для уверенности отключить gd вообще.

mironov_ivan ★★★★★ ()