Bugtraq #10

Xakep, номер #035, стр. 035-008-2

Как бороться? Пишем ручками или скачиваем патч (менее 0,5K). Решение пришло моментально и оказалось критически простым. Если же озаботиться проблемой в глобальном плане, то перво-наперво можно отключить привязку к MAC`ам. Сие, естественно, не пойдет на пользу secure`ности, но окажется эффективным на случай появления более серьезных траблов на непаханом поле MAC-спуффинга. Другой вариант, который пропаривает X-Buqtaq со дня открытия рубрики, - держаться золотой середины в подборе софта: избегать дефолтовых настроек/рулесов/модулей, но при этом не уходить в сторону неизведанных сырых продуктов, которые пишут мальцы, почитавшие полгода назад книгу Кернигана/Ритчи :). Сайт Netfilter - http://netfilter.samba.org.

Cisco PIX Firewall manager: пароли снова в Plain-text

Дата 16.10.01

Автор Florencio Umel

Новый повод лажать win-продукты. Тенденция хранения паролей в голом виде убывает в *nix`ах, но сохраняет уровень в винде. Обидно, что подобные уязвимости встречаются повсеместно как в любительском софте, так и в высокопрофессиональном. Здесь бага вокруг второго варианта.

The PIX Firewall Manager (PFM) является программным комплексом, который позволяет конфигурировать Cisco PIX. PFM имеет web-ориентированный GUI и разработан для NT серверов/рабочих станций.

С первого взгляда - система написана и функционирует без проблем. Именно правильная работа прожигает дыру: по завершении успешного соединения с PIX-девайсом посланный пароль для идентификации - сохраняется в жестоком plain-text`e на станции FW-менеджера. Пароль ныкается в log-файле, создаваемом в инсталляционной директории. Заметим, что подобная папка, по умолчанию, в большинстве NT-систем не имеет специальных ограничений доступа. И так уж сложилось, что в C:\Program Files (куда пишется Cisco\PIX Firewall Manager\protect) обычно админы не кладут серьезного софта, оставляя обычные пермишены на доступ. Но... следующим образом выглядит типичный лог PFM:

Oct 01 2001 14:59:18 <Полученное сообщение> - 9004

192.168.1.100 0 0 0 1 5 **рабочий_пароль_здесь**

Патч уже выпущен и доступен (http://www.cisco.com/warp/public/cc/pd/fw/sqfw500/prodlit/pixdm_ds.htm), хотя, предположительно, ко времени попадания журнала в твои руки - появится новая версия продукта, которой губкой сотрет все неровности версий 4.3(2)g и 5.2(1).

Разработчики попытались отмазаться тем, что у нормального админа бокс сконфигурен так, что к бажному лог-файлу никто и доступ получить не может... В этом есть доля логики: при грамотных локальных/доменных/сетевых политиках подобные инциденты ничем не чреваты. Но в случае коммерческого софта это крепко отдает халявой и выпуском сырого продукта.