Snort : encore un outil de sécurité qui ouvre la porte aux pirates !

Selon la société ISSISS, une faille particulièrement simple à exploiter frappe l'IDS Libre Snort. Elle toucherait les versions 2.4.0 jusqu'à 2.4.2. La bourde se situe dans une extension (un préprocesseur) destinée à identifier le trafic du cheval de Troie Back Orifice. Il suffirait à un attaquant de faire parvenir à l'IDS des paquets UDP piégés pour être en mesure d'exécuter du code sur le serveurserveur avec les droits de Snort. Et puisque ce dernier est généralement installé avec les droits d'administration cela revient tout simplement à en prendre le contrôle.

Outre sa simplicité de mise en oeuvre, l'alerte est jugée particulièrement sérieuse car il n'est pas nécessaire d'attaquer directement le serveur de l'IDS pour exploiter cette vulnérabilité : il suffit d'être en mesure d'envoyer des paquets sur un réseau surveillé par Snort.

Une version corrigée est disponible (2.4.3) et il est très vivement conseillé de mettre à jour l'IDS, tout particulièrement s'il est destiné à surveiller un réseau ou des hôteshôtes accessibles publiquement (ce qui est souvent le cas). Si la mise à jour immédiate n'est pas possible, il est alors conseillé de désactiver le préprocesseur Back Orifice.

Il est à noter, enfin, que Snort est embarqué dans de très nombreux boîtiers de sécurité multi-fonctions, et ces derniers devront évidemment être mis à jour eux aussi. Cela ne posera probablement aucun problème avec les éditeurs suffisamment honnêtes pour admettre l'utilisation de Snort dans leur appliance, et suffisamment professionnels pour en assurer les mises à jour. En revanche, les nombreux charlatans fournisseurs de "solutions propriétaires exclusives" qui intègrent en douce des produits Libres seront peut-être tentés d'attendre la prochaine mise à jour programmée plutôt que de fournir un correctif immédiat.