RNP > Serviços > Segurança em redes > Alertas do CAIS

CERT Advisory CA-2002-27

Worm Slapper (Apache/mod_ssl Worm)

[CERT/CC, 14.09.2002, revisão 01]

O CAIS está repassando o alerta divulgado pelo CERT/CC, CERT Advisory CA-2002-27 Apache/mod_ssl Worm, tratando da propagação de um Worm que está atacando sistemas GNU/Linux através da exploração de uma vulnerabilidade (VU#102795) no OpenSSL.

Sistemas afetados:

Sistemas GNU/Linux na plataforma Intel x86 que possuem Apache com mod_ssl, OpenSSL 0.9.6d ou anteriores com SSLv2.

Identificando um sistema comprometido:

Presença do arquivo /tmp/.bugtraq.c que é compilado utilizando o gcc.

Presença do arquivo /tmp/.bugtraq.

Presença do seguinte trecho de log indica que o sistema foi alvo de uma tentativa de acesso do Worm não necessariamente serve como indicativo que a máquina foi invadida.

GET /mod_ssl:error:HTTP-request HTTP/1.0 [error] SSL handshake failed: HTTP spoken on HTTPS port; trying to send HTML error page (OpenSSL library error follows)

[error] OpenSSL: error:1407609C:SSL routines:SSL23_GET_CLIENT_HELLO:http request [Hint: speaking HTTP to HTTPS port!?]

Pode-se ainda identificar um sistema comprometido pelo tráfego, gerando scan na porta 80/tcp, propagação do Worm pela porta 443/tcp e transmissão de informações pela porta 2002/udp.

Correções disponíveis:

Ressalta-se que o alerta do CERT/CC, em anexo, contém explicações detalhadas sobre a vulnerabilidade em questão, bem como sobre possíveis workarounds. A correção recomendada é atualizar a versão do OpenSSL para 0.9.6g

http://www.openssl.org/source/

Maiores informações:

http://www.cert.org/advisories/CA-2002-27.html

http://www.kb.cert.org/vuls/id/102795

http://www.cert.org/advisories/CA-2002-23.html

http://www.rnp.br/cais/alertas/2002/CA200223.html

http://online.securityfocus.com/bid/5363

Identificador do CVE:

CAN-2002-0656 (http://cve.mitre.org)

Nova regra experimental do Snort:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"OpenSSL worm probe"; flags:A+; content:"GET /mod_ssl:error:HTTP-request HTTP/1.0"; nocase; sid:9999999; classtype:web-application-attack; rev:1; reference:url,www.cert.org/advisories/CA-2002-27.html;)

O CAIS recomenda aos administradores que mantenham seus sistemas atualizados.

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais