漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2014-074369
漏洞标题:帕拉迪/华为/江南天安堡垒机伪造WEB登录来源IP漏洞
相关厂商:pldsec.com
漏洞作者: 王小贝
提交时间:2014-08-29 18:24
修复时间:2014-11-27 18:26
公开时间:2014-11-27 18:26
漏洞类型:设计不当
危害等级:低
自评Rank:5
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2014-08-29: 细节已通知厂商并且等待厂商处理中
2014-09-01: 厂商已经确认,细节仅向厂商公开
2014-09-04: 细节向第三方安全合作伙伴开放
2014-10-26: 细节向核心白帽子及相关领域专家公开
2014-11-05: 细节向普通白帽子公开
2014-11-15: 细节向实习白帽子公开
2014-11-27: 细节向公众公开
简要描述:
帕拉迪堡垒机产品设计上存在安全漏洞,可以伪造用户登录的来源IP日志记录。因为华为和江南天安OEM了帕拉迪的堡垒机,所以也存在同样的漏洞。
详细说明:
1.小弟要主动承认错误,经过跟原厂的沟通,其中 WooYun: 帕拉迪/华为/江南天安堡垒机高危漏洞泄露用户服务器密码 的漏洞不影响华为和江南天安的OEM/ODM版本,给躺枪的大佬们道歉。
2.其中 WooYun: 帕拉迪/华为/江南天安堡垒机高危漏洞获取所有用户密码 原厂答复“这个漏洞比较老了,早就已经出过升级包了”,这点小弟不认同,因为今天代理商给我发来了针对这个漏洞的升级包upgrade_utm_ssh_tunnel_close_201408121745.tar.gz,根据文件名是8.12号出的升级包,因为小弟自己就是帕拉迪堡垒机的最终用户,报漏洞一方面是为了赚乌云RANK(虚荣心),更多地是希望原厂能够改进产品,毕竟还有很多用户在用呢。
3.跟代理商要了一台帕拉迪最新版本的测试机,所以这次报的漏洞再不会让华为和江南天安躺枪了。
漏洞说明:帕拉迪堡垒机用户通过WEB登录时,登录成功后会在【登录日志】留下登录日志,处理客户端IP的PHP代码存在经典的X-Forwarded-For漏洞,导致可以伪造来源IP,最后记录在日志中的来源IP可以是任意IP或字符串。没什么大危害,只是对审计而言,堡垒机的记录就不可信了。
漏洞证明:
经典的X-Forwarded-For,我用的是CLIENT_IP: 8.8.8.8,以下截图可证明正常登录时真实地记录了我的电脑IP 10.100.102.20,通过BS注入HTTP头部CLIENT_IP: 8.8.8.8后登录,日志里记录的是GOOGLE公司8.8.8.8的IP地址:
修复方案:
大家都懂的
版权声明:转载请注明来源 王小贝@乌云
漏洞回应
厂商回应:
危害等级:低
漏洞Rank:1
确认时间:2014-09-01 18:29
厂商回复:
在拥有用户权限前提下可以伪造登录源IP。
从伪造源IP角度来看危害小于挂代理登录,仅影响堡垒机登陆日志。相关补丁部分已放在下一次升级包计划中。
最新状态:
暂无