RNP > Serviços > Segurança em redes > Alertas do CAIS

CERT Advisory CA-2002-01

Exploração da vulnerabilidade no Subprocesso do CDE

[CERT/CC, 15.01.2002, revisão 01]

O CAIS está repassando o alerta do CERT/CC, CERT Advisory Exploitation of Vulnerability in CDE Subprocess Control Service, tratando da exploração da vulnerabilidade associada ao CDE Subprocess Control Service.

Conforme o alerta do CERT/CC, foi desenvolvido um exploit para comprometer sistemas Solaris. Esta vulnerabilidade foi reportada no ano passado no alerta CA-2001-31 e afeta várias plataformas. A relação de sistemas vulneráveis pode ser encontrada em:

http://www.kb.cert.org/vuls/id/172583#systems

Deve-se procurar identificar atividades de reconhecimento procurando pela porta 6112/tcp. Sistemas que não tiveram as correções aplicadas devem limitar o acesso a esta porta. Deve-se tomar cuidado com as atividades relacionadas a esta porta, pois várias aplicações de internet a utilizam de forma legítima.

Exemplo de log do cisco:

Dec 15 20:21:10 polaris 1916585: Dec 15 20:21:09 GMT-2:

%SEC-6-IPACCESSLOGP: list 101 denied tcp 168.xxx.56.yy(25981) ->

200.144.121.33(6112), 1 packet

A regra do Snort indicada para esta vulnerabilidade segue:

alert tcp $EXTERNAL_NET any -> $HOME_NET 6112

(msg: "CDE dtspcd exploit attempt";

reference: cve,CAN-2001-0803;

reference: url,www.cert.org/advisories/CA-2002-01.html;

flags: A+;

content: "1"; offset: 10; depth: 1;

content: !"000"; offset: 13; depth: 3;)

Nota: As regras do Snort sofrem constantes adaptações e podem eventualmente gerar falsos positivos.

Para maiores detalhes e também para obter os patches necessários, consulte o alerta do CERT/CC em anexo e ou as informações relacionadas a esta vulnerabilidade disponíveis em:

http://www.cert.org/advisories/CA-2002-01.html

http://www.cert.org/advisories/CA-2001-31.html

http://www.kb.cert.org/vuls/id/172583

O CAIS recomenda que sejam instalados com urgência os patches disponibilizados pelos fabricantes.

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais