http_inspect för Snort kan kringgås

http_inspect är en modul för intrångsdetekteringssystemet Snort som normaliserar webbservertrafik så att det inte ska gå att använda tekniker för att kringgå Snorts regelverk. Sådana tekniker är tex URL:er omskrivna till Unicode eller till hexadecimal kod. Demarc Threat Research Team varnar nu för att modulen http_inspect går att kringå.

Genom att ange ett radbrytningstecken (carriage return) innan HTTP-protokollet anges, kan Snorts regler för att larma om elakartad webbtrafik förbigås och en angripare förbli oupptäckt.
Följande exempel på ett sådant anrop kommer från Demarc:

$ perl -e'print "GET /awstats.pl?configdir=|backdoor\r http/1.0\r\n\r\n"'|nc vulnerable.server 80

Enligt snort.org går denna teknik bara att använda mot webbservrar från Apache (www.apache.org), då den är den enda server som klarar av att tolka anropet och ge en sida tillbaka till angriparen.

Snort.org kommer att släppa nya versioner av sitt intrångsdetekteringssystem måndagen den 5:e Juni. I dessa versioner ska problemet vara åtgärdat.

Mer information:
http://www.snort.org/pub-bin/snortnews.cgi#431
http://www.demarc.com/support/downloads/patch_20060531
http://www.securityfocus.com/bid/18200