一. 漏洞概述今日,GoAhead Web Server 被爆出在之前的所有版本中存在一个远程代码执行漏洞 (CVE ) 该漏洞源于使用不受信任的 HTTP 请求参数初始化分叉 CGI 脚本环境, 并且会影响所有启用了动态链接可执行文件 (CGI 脚本 ) 支持的

Size: px

Start display at page:

Download "一. 漏洞概述今日,GoAhead Web Server 被爆出在之前的所有版本中存在一个远程代码执行漏洞 (CVE ) 该漏洞源于使用不受信任的 HTTP 请求参数初始化分叉 CGI 脚本环境, 并且会影响所有启用了动态链接可执行文件 (CGI 脚本 ) 支持的"

槌穹郏
4 years ago
Views:

1 一. 漏洞概述今日,GoAhead Web Server 被爆出在之前的所有版本中存在一个远程代码执行漏洞 (CVE ) 该漏洞源于使用不受信任的 HTTP 请求参数初始化分叉 CGI 脚本环境, 并且会影响所有启用了动态链接可执行文件 (CGI 脚本 ) 支持的用户当与 glibc 动态链接器结合使用时, 使用特殊变量 ( 如 LD_PRELOAD) 就可以实施远程代码执行 2017 年 12 月 18 日针对该漏洞利用的 PoC 公开, 请受影响的用户及时更新版本进行修复详情请参考如下链接 : 二. 影响范围受影响的版本 GoAhead Web Server < 不受影响的版本 GoAhead Web Server GoAhead Web Server 三. 漏洞检测 3.1 手工检测受影响版本检测该漏洞影响 linux 服务器上开启了动态链接可执行文件的用户, 同时请检查当前 GoAhe ad Web Server 版本是否在受影响范围内, 如果当前版本低于 3.6.5, 则存在风险版本检测可使用如下命令 :./goahead --version

com/elttam/advisories/tree/master/cve-2017-17562 您可通过此测试脚本,

2 漏洞验证 POC 检测目前安全研究人员已经提供了 goahead 远程代码执行漏洞的 POC, 参考链接如下 : 您可通过此测试脚本, 对自有资产进行验证, 并及时对此漏洞进行防护, 防护方案请参考第四章节防护方案部分检测效果如下图所示 : 3.2 在线检测由于 goahead 漏洞影响范围较大, 绿盟科技提供在线检测接口, 您可以通过自助检测的方式, 判断自有资产是否受到影响

四. 防护方案 4.1 官方补丁 GoAhead 官方已经发布新版本修复了该漏洞, 受影响的用户请尽快升级到最新版本进行防护, 以 3.6.5 版本为例, 下载链接如下 : https://github.com/embedthis/goahead/archive/v3.6.5.zip 首先将网站进行备份, 到上述链接下载修复了漏洞的程序包, 解压后进入程序目录, 目录结构如下 : 在当前目录下依次执行以下命令, 对新版本 goahead 应用进行编译安装 :.

3 四. 防护方案 4.1 官方补丁 GoAhead 官方已经发布新版本修复了该漏洞, 受影响的用户请尽快升级到最新版本进行防护, 以版本为例, 下载链接如下 : 首先将网站进行备份, 到上述链接下载修复了漏洞的程序包, 解压后进入程序目录, 目录结构如下 : 在当前目录下依次执行以下命令, 对新版本 goahead 应用进行编译安装 :./configure make # 执行编译 sudo make install # 编译完成后安装将备份好的网站部署到网站目录下, 如路径 :/var/www/goahead 进入 /build/linux-x64-default/bin 目录下, 使用如下命令启动新版本 GoAhead Web Server 即可 :./goahead -v --home /etc/goahead /var/www/goahead :8888 如果启动过程中出现如下错误, 在 goahead 执行文件目录中找到 self.key 和 self.crt 文件拷贝到 /etc/goahead 下即可解决 goahead: 0: mbedtls: Unable to read key file self.key

goahead: 0: Cannot initialize server. Exiting. 其中 /etc/goahead 为配置目录, /var/www/goahead 为网站所在目录, 0.0.0.0:8888 为绑定 IP 和监听端口, 请根据具体的环境进行配置 4.

4 goahead: 0: Cannot initialize server. Exiting. 其中 /etc/goahead 为配置目录, /var/www/goahead 为网站所在目录, :8888 为绑定 IP 和监听端口, 请根据具体的环境进行配置 4.2 产品防护用户可使用绿盟入侵防御系统 NIPS Web 应用防火墙 WAF 或下一代防火墙 NF 对网络中的漏洞攻击报文进行阻断, 规则编号如下 : 产品规则 ID IPS WAF 自定义规则 NF 入侵防御系统 NIPS 配置方法 1. 目前最新的规则升级包正在发布流程中, 请及时关注官网的最新动态, 并及时下载最新的规则库文件 : 2. 在系统升级中点击离线升级, 选择系统规则库, 选择对应的文件, 点击上传 3. 更新成功后, 在系统默认规则库中查找规则编号 :24163, 即可查询到 GoAhea d httpd LD_PRELOAD 远程代码执行漏洞

/cgi-bin/)&&(parameter_name * rco ^(LD_ IFS$ CDPATH$ PATH$ REMOTE_HOST$

5 Web 应用防火墙 WAF 配置方法自定义规则为及时形成对 goahead 远程代码执行漏洞的防护能力, 减少因此漏洞导致的损失, 部署有绿盟科技 WAF 的用户可通过自定义规则的方式用来及时防护该漏洞, 自定义规则如下 : (method * belong POST)&&(uri_path * rco /cgi-bin/)&&(parameter_name * rco ^(LD_ IFS$ CDPATH$ PATH$ REMOTE_HOST$ HTTP_AUTHORIZATION$)) 请参考如下步骤对临时规则进行部署 : 1. 新建自定义规则, 依次点击安全管理 - 规则库管理 - 自定义 - 新建 2. 将自定义规则命名为 GoAhead RCE

6 3. 依次按照如下截图进行设置 : 检测对象 :Method 匹配操作 : 属于检测值 :POST 检测对象 :URI-path 匹配操作 : 正则包含检测值 :/cgi-bin/

7 检测对象 :Parameter-name 匹配操作 : 正则包含检测值 : ^(LD_ IFS$ CDPATH$ PATH$ REMOTE_HOST$ HTTP_AUTHORIZATION$) 配置完成后可以看到如下约束条件 :

8 4. 新建自定义策略, 依次点击安全管理 - 策略管理 - 自定义策略 - 新建设置策略名称为 GoAhead RCE 策略, 勾选刚刚新建的 GoAhead RCE 规则后点击确定

9 5. 在站点添加自定义策略, 依次点击安全管理 - 站点防护 - 根据需要选择需要防护的站点 - Web 安全防护

远程代码执行漏洞的防护能力, 部署有 NF 的用户可下载防护规则库文件, 规则编号为 :24163, 升级后即可防护此漏洞带来的攻击 :

10 在自定义策略中勾选刚刚创建的 GoAhead RCE 策略后, 点击确定即可启用自定义的规则进行防护防护效果如下, 可以看到, 对于此 POC 的攻击已经进行了有效的阻断 : 下一代防火墙 NF 配置方法 NF 已经形成了对 goahead 远程代码执行漏洞的防护能力, 部署有 NF 的用户可下载防护规则库文件, 规则编号为 :24163, 升级后即可防护此漏洞带来的攻击 : 2. 在 NF 的规则升级界面进行升级 :

11 3. 手动选择规则包, 点击提交即可完成更新五. 关于 GoAhead Web Server GoAhead 是一个开源 ( 商业许可 ) 简单轻巧功能强大可以在多个平台运行的嵌入式 Web Server GoAhead Web Server 是为嵌入式实时操作系统 (RTOS) 量身定制的 Web 服务器支持的操作系统包括 ecos LINUX LynxOS QNX VxWorks WinCE psos 等, 由于他结构紧凑, 使用安全简单, 被部署在数以亿计的设备中, 如 IBM,HP, Oracle, 波音,D-link 和摩托罗拉等公司的产品中, 是最小的嵌入式设备的理想选择六. 声明本安全公告仅用来描述可能存在的安全问题, 绿盟科技不为此安全公告提供任何保证或承诺由于传播利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失, 均由使用者本人负责, 绿盟科技以及安全公告作者不为此承担任何责任绿盟科技拥有对此安全公告的修改和解释权如欲转载或传播此安全公告, 必须保证此安全公告的完整性, 包括版权声明等全部内容未经绿盟科技允许, 不得任意修改或者增减此安全公告内容, 不得以任何方式将其用于商业目的

绿盟科技在网络及终端安全互联网基础安全合规及安全管理等领域, 为客户提供入侵检测 / 防护抗拒绝服务攻击远程安全评估以及 Web 安全防护等产品以及专业安全服务

12 七. 关于绿盟科技北京神州绿盟信息安全科技股份有限公司 ( 简称绿盟科技 ) 成立于 2000 年 4 月, 总部位于北京在国内外设有 30 多个分支机构, 为政府运营商金融能源互联网以及教育医疗等行业用户, 提供具有核心竞争力的安全产品及解决方案, 帮助客户实现业务的安全顺畅运行基于多年的安全攻防研究, 绿盟科技在网络及终端安全互联网基础安全合规及安全管理等领域, 为客户提供入侵检测 / 防护抗拒绝服务攻击远程安全评估以及 Web 安全防护等产品以及专业安全服务北京神州绿盟信息安全科技股份有限公司于 2014 年 1 月 29 日起在深圳证券交易所创业板上市交易, 股票简称 : 绿盟科技, 股票代码 : 绿盟科技官方微博二维码绿盟科技官方微信二维码

一. 漏洞概述 2018 年 3 月 28 日,Cisco IOS 以及 IOS XE 软件被发现存在一个严重漏洞 CVE 攻击者可以在未授权的情况下通过重新加载(reload) 设备造成拒绝服务条件, 或者远程执行代码 Smart Install 是为新的 LAN 以太网交换

绿盟科技安全预警通告 Cisco IOS/IOS XE 远程代码执行漏洞 (CVE-2018-0171) 预警编号 TAG 关注级别 NS-2018-0012 CVE-2018-0171; 远程代码执行 ;Smart Install 红, 攻击者已利用此漏洞进行攻击, 对业务造成较大影响发布日期 2018-4-8 版本 V1.1 一. 漏洞概述 2018 年 3 月 28 日,Cisco IOS

一. 漏洞概述 今日,GoAhead Web Server 被爆出在 之前的所有版本中存在一个远程代码执行漏洞 (CVE ) 该漏洞源于使用不受信任的 HTTP 请求参数初始化分叉 CGI 脚本环境, 并且会影响所有启用了动态链接可执行文件 (CGI 脚本 ) 支持的

一. 漏洞概述今日,GoAhead Web Server 被爆出在之前的所有版本中存在一个远程代码执行漏洞 (CVE ) 该漏洞源于使用不受信任的 HTTP 请求参数初始化分叉 CGI 脚本环境, 并且会影响所有启用了动态链接可执行文件 (CGI 脚本 ) 支持的