Update fixes1 mallard

par **caylat** » 08 Mars 2003 23:37

Au secours !!! <IMG SRC="images/smiles/icon_bawling.gif"> Suite au message sur le trou de sécurité de Snort et en voyant qu'un fix était sorti pour la beta4 à ce propos, je me suis précipité sur l'update en question. J'ai tout bien fait, j'ai rebooté l'animal, aucun souci jusque là... Et puis en regardant d'un peu plus près : plus de Snort dans les services démarrés ! J'ai essayé de le redémarrer par en interface web... Rien à faire. Je me suis scanné un coup : aucun log !!! Que se passe-t-il ? Quelqu'un d'autre a-t-il fait cette mise à jour ? Merci d'avance.

par **loadlin** » 09 Mars 2003 12:34

Pour IPCop 1.2.0, il a été nécessaire de faire 2 mises à jour successives : 001 fixes1 update This update fixes the security issues with Snort and SSL that were recently discovered. See link for details. A reboot is required!!! 002 fixes2 update This update fixes the Snort configuration and rules that no longer functioned after fixes1. See link for details. A reboot is not required. Par contre je ne sais pas ce qu'il en est pour Smoothwall...

par **gi-joe** » 09 Mars 2003 13:41

j' ai appliqué le patch mais par contre je n' ai pas rebooté... De toute façon, ce patch ne fait que commenter la ligne preprocessor rpc_decode dans un fichier dans le fichier de conf de snort(qui est en principe(je me trompe peut être) relut a chaque redemarrage de snort) et donc une desactivation puis un reactivation de snort doit suffire.Apres si il y a d' autres modifications, elle ne sont pas explicités...

par **caylat** » 09 Mars 2003 14:32

Et si je balance mes logs, ça aide quelqu'un à m'aider ? Merci d'avance. Mar 9 13:29:56 smoothwall smoothwall: Snort is enabled Mar 9 13:29:56 smoothwall kernel: device ppp0 entered promiscuous mode Mar 9 13:29:56 smoothwall snort: Initializing daemon mode Mar 9 13:29:56 smoothwall snort: PID path stat checked out ok, PID path set to /var/run/ Mar 9 13:29:56 smoothwall snort: Writing PID "3853" to file "/var/run//snort_ppp0.pid" Mar 9 13:29:56 smoothwall snort: http_decode arguments: Mar 9 13:29:56 smoothwall snort: Unicode decoding Mar 9 13:29:56 smoothwall snort: IIS alternate Unicode decoding Mar 9 13:29:56 smoothwall snort: IIS double encoding vuln Mar 9 13:29:56 smoothwall snort: Flip backslash to slash Mar 9 13:29:56 smoothwall snort: Include additional whitespace separators Mar 9 13:29:56 smoothwall snort: Ports to decode http on: 80 Mar 9 13:29:56 smoothwall snort: telnet_decode arguments: Mar 9 13:29:56 smoothwall snort: Ports to decode telnet on: 21 23 25 119 Mar 9 13:29:56 smoothwall snort: Conversation Config: Mar 9 13:29:56 smoothwall snort: KeepStats: 0 Mar 9 13:29:56 smoothwall snort: Conv Count: 32000 Mar 9 13:29:56 smoothwall snort: Timeout : 60 Mar 9 13:29:56 smoothwall snort: Alert Odd?: 0 Mar 9 13:29:56 smoothwall snort: Allowed IP Protocols: Mar 9 13:29:56 smoothwall snort: All Mar 9 13:29:56 smoothwall snort: Mar 9 13:29:56 smoothwall snort: FATAL ERROR: ERROR /usr/local/lib/snort/misc.rules (28) => Rule IP addr (64.12.) didn't x-late, WTF? Mar 9 13:29:56 smoothwall kernel: device ppp0 left promiscuous mode

par **gi-joe** » 09 Mars 2003 15:49

tu as peut être un pb a la ligne 28 de ton fichier misc.rules,au fait 64.12, c' est le debut de ton ip?Sinon peut etre que snort plante sur cette ip,64.12 n' étant pas une ip valide?La ligne 28 de misc.rules elle te donne quoi?(le debut de l'ad ip 64.12 chez moi ça semble correspondre a un serveur de aim...).Essayes de commenter cette ligne 28(temporairement) et derelancer snort.Si çamarche mieux alors cette ligne a de fortes chancesd' être la source de ton probleme)

par **caylat** » 09 Mars 2003 16:25

tu as peut être un pb a la ligne 28 de ton fichier misc.rules,au fait 64.12, c' est le debut de ton ip?Sinon peut etre que snort plante sur cette ip,64.12 n' étant pas une ip valide?La ligne 28 de misc.rules elle te donne quoi?(le debut de l'ad ip 64.12 chez moi ça semble correspondre a un serveur de aim...).Essayes de commenter cette ligne 28(temporairement) et derelancer snort.Si çamarche mieux alors cette ligne a de fortes chancesd' être la source de ton probleme) <IMG SRC="images/smiles/icon_frown.gif"> Ben ça marche pas mieux : j'ai vérifié sur une autre machine qui est a la même distrib, j'ai fait la mise à jour : aucun problème !!! Après, j'ai essayé de comparer les fichiers de conf du répertoire snort : tous identiques !!! J'ai commenté la ligne 28 de misc.rules : erreur à la ligne 29 maintenant... <IMG SRC="images/smiles/icon_confused.gif"> Au secours !!!

par **caylat** » 09 Mars 2003 17:02

A priori, mon problème provient du filtrage de premier niveau que j'effectue avec squid. La mémoire du smoothwall est saturée et n'accepte plus de charger correctement les règles de Snort. Donc ce sera Snort ou le filtrage... Dommage.

par **gi-joe** » 09 Mars 2003 17:21

a la ligne 28 et 29 j' ai une reference a une variable AIM_SERVERS, donc si lorsque tu as commenté la ligne 28 et que maintenant tu as une erreur a la ligne 29, alors la variable AIM_SERVERS doit peut être être mal configurée.regardes si dans /etc/snort.conf ou /usr/local/lib/snort/snort.conf si tu n'as pas une adresse ip bizarre dans AIM_SERVERS (normalement c' est dans les 1eres lignes dans le snort de /etc)

par **caylat** » 09 Mars 2003 19:36

Super, merci ! J'ai commenté les lignes 28 et 29 et ça remarche comme avant. Mais pourquoi ? Il y a bien une liste d'IP qi commencent par 64.12. dans le snort.conf. J'ai l'impression qui si j'avais commenté la ligne dans le snort.conf, j'aurais eu le même résultat. Serai-je toujours prévenu des attaques en provenance d'utilisateur AOL ? En tous les cas, merci pour le coup de main. Une question quand même : y a-t-il une solution pour continuer à bénéficier de la protection complète de snort en cherchant la solution à ce petit souci autre part ? Merci encore. <IMG SRC="images/smiles/icon_bise.gif">

par **grosbedos** » 09 Mars 2003 20:49

tiens c les lignes 28 et 29 (chai pa si c la meme version..g la 1.2.0) au tout cas y a l'adress complete..c deja ca alert tcp [64.12.163.0/24,205.188.9.0/24] any -> $HOME_NET any (msg:"MISC AIM AddGame attempt"; flags:A+; content:"aim:AddGame?"; nocase; reference:url,www.w00w00.org/files/w00aimexp/; reference:bugtraq,3769; reference:cve,CAN-2002-0005; classtype:misc-attack; sid:1393; rev:8;) alert tcp [64.12.163.0/24,205.188.9.0/24] any -> $HOME_NET any (msg:"MISC AIM AddExternalApp attempt"; flags:A+; content:"aim:AddExternalApp?"; nocase; reference:url,www.w00w00.org/files/w00aimexp/; classtype:misc-attack; sid:1752; rev:2;)

par **laubean** » 10 Mars 2003 03:21

Verifie dans le fichier snort.conf s'il n'y a pas une erreur dansl'adresse IP (un espace se serait inséré dans l'adresse IP (voir ligne 18).

par **caylat** » 10 Mars 2003 17:42

Je répète : j'ai recopié les fichiers d'une smoothwall qui tourne correctement sur celle qui est bancale : ça n'a rien changé... Dès que j'ai activé le proxy filtrant par squid sur la machine qui fonctionnait bien, elle n'a plus réussi à gérer Snort.

Update fixes1 mallard

Qui est en ligne ?