漏洞名称：
Cisco Snort 预处理拒绝服务漏洞
组件名称：Snort
影响范围：
Snort 2.x : Snort < 2.9.19
Snort 3.x : Snort < 3.1.11.0
漏洞类型：
拒绝服务
利用条件：
1、用户认证：不需要用户认证
2、前置条件：目标设备的 Cisco Unified Threat Defense (UTD) 功能安装并被开启
3、触发方式：远程
综合评价：
<综合评定利用难度>：未知。
<综合评定威胁等级>：高危，能造成拒绝服务。
漏洞分析
1 组件介绍
Snort 是一款开源、跨平台的入侵检测系统，符合通用公共许可。Snort 能够对网络上的数据包进行抓包分析，根据所定义的规则进行响应及处理，于2013年被 Cisco 公司收购。
2 漏洞描述
近日，深信服安全团队监测到一则 Snort 组件存在拒绝服务漏洞的信息，漏洞编号：CVE-2022-20685，漏洞威胁等级：高危。
该漏洞是由于 Snort 组件及其预处理机制处理 Modbus 流量时，存在一个整数溢出错误。攻击者可利用该漏洞在未授权的情况下，构造恶意数据对受影响设备发送流量，最终造成Snort进程挂起，停止流量检测而实现拒绝服务。
影响范围
Snort 几乎可以运行在所有计算机平台上，由于其跨平台和安全的特性被广泛使用，成为热门的入侵检测系统之一。全球有大量 Snort 服务运行在各类服务器中，可能受此漏洞影响的资产广泛分布于世界各地。此漏洞危险等级高，涉及用户量较大，但是利用漏洞需要的先决条件较多，因此综合评估下该漏洞影响力一般。
目前受影响的 Snort 版本：
Snort 2.x : Snort < 2.9.19
Snort 3.x : Snort < 3.1.11.0
解决方案
1 如何检测组件系统版本
执行命令：
snort -V可从命令行获取 Snort 的版本。
2 官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snort-dos-9D3hJLuj
3 临时修复建议
该临时修复建议存在一定风险，建议用户根据业务系统特性审慎选择是否采用临时修复方案。
可通过禁用Modbus预处理器以缓解此漏洞的影响，根据不同版本，请按照以下官方链接引导。
对于Snort 2.x的设备，请参阅：
https://www.cisco.com/c/en/us/td/docs/security/firepower/70/configuration/guide/fpmc-config-guide-v70/getting_started_with_network_analysis_policies.html#ID-2245-000001d4
对于Snort 3.x的设备，请参阅：
https://www.cisco.com/c/en/us/td/docs/security/firepower/70/configuration/guide/fpmc-config-guide-v70/getting_started_with_network_analysis_policies.html#ID-2245-000001d4
参考链接
1.https://claroty.com/2022/04/14/blog-research-blinding-snort-breaking-the-modbus-ot-preprocessor/
2.https://thesecmaster.com/how-to-fix-cve-2022-20685-a-denial-of-service-vulnerability-in-snort-modbus-preprocessor/
3.https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-snort-dos-9D3hJLuj
时间轴
2022/4/22 深信服监测到 Cisco Snort 预处理拒绝服务漏洞攻击信息。
2022/4/22 深信服千里目安全实验室发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。
● 扫码关注我们
原文始发于微信公众号（深信服千里目安全实验室）：【漏洞通告】Cisco Snort预处理拒绝服务漏洞 CVE-2022-20685
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论