Sempre SSHD Exploit CRC

Ho trovato sul CERT il seguente report:

*Exploitation of vulnerability in SSH1 CRC-32 compensation attack detector*

URL: http://www.cert.org/incident_notes/IN-2001-12.html

Interessante notare la possibilità di individuare un possibile attacco
tramite la nota vulnerabilità  trovando nei log files i seguenti messaggi
che sono stati notati nei reports ricevuti dal CERT/CC:

hostname sshd[xxx]: Disconnecting: Corrupted check bytes on input.
hostname sshd[xxx]: Disconnecting: crc32 compensation attack: network attack
detected
hostname sshd[xxx]: Disconnecting: crc32 compensation attack: network attack
detected

Per sfruttare la vulnerabilità *sembra* che si utilizzi un attacco brute
force.
Interessanti anche le azioni che l'intruso attua, soprattutto:
The following artifacts have been discovered on systems that were
successfully compromised:

*Installation of tools to scan large network blocks for other systems that
are vulnerable to compromise. Log files left behind from these tools
indicate that they operate by looking for the banner displayed upon
connection to the sshd service.*

E naturalmente l'exploit è per guadagnare i privilegi di superuser.



 Fausto




________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List