Newsgroup: it.comp.os.linux.sys
Titolo: PER ESPERTI DI FIREWALL

Su un firewall di un cliente (che ho configurato io qualche anno fa, 
linux 2.2.25 con ipchains, regole banali - deny a tutti in input, 
masquerading alla rete locale, accesso da internet solo con ssh - sempre 
aggiornato ovviamente - per la mia manutenzione remota) nessun riporta 
il seguente messaggio:
Vulnerability found on port general/udp
It is possible to by-pass the rules of the remote firewall
by sending UDP packets with a source port equal to 53.
An attacker may use this flaw to inject UDP packets to the remote
hosts, in spite of the presence of a firewall.
Solution : Review your firewall rules policy
Risk Factor : High
BID : 7436
Nessus ID : 11580
dando unan occhiata alle regole, che come dicevo sono banali, non riesco 
a capire da dovi salti fuori questa vulnerabilitŕ. con macchine + 
aggiornate (kernel 2.4) e praticamente le stesse regole implementate con 
iptables il warning non si presenta.
Chi ne sa qualcosa?
-- 
Davide Corrado
Un modello di elaborazione composito č un'architettura che
utilizza un ambiente di esecuzione distribuito e basato
sulla ricerca per mettere a disposizione e gestire una serie
di risorse software orientate ai servizi

 by sending UDP packets with a source port equal to 53.
53 e' il DNS. Forse usi una versione di named vecchiotta?
Consenti ad altri di accedere al DNS?
Davide


il dns non è in funzione... non metto mai un dns (nemmeno caching) sulla 
macchina che fa da firewall. è per questo che sono perplesso
-- 
Davide Corrado
Un modello di elaborazione composito è un'architettura che


 macchina che fa da firewall. č per questo che sono perplesso
Il fatto che non sia in funzione non vuole dire che la porta non sia
aperta, se e' chiusa, e' sempre possibile che quel "controllo di
sicurezza" sia una boiata paurosa. Ce ne sono molti in giro che danno
risultati random. Io mi fido solo di un bel nmap fatto da me e da una
macchine che conosco.
Davide

 Davide
forse non mi sono spiegato bene...
mi occupo porprio di sicurezza, ti assicuro che la porta è chiusa il 
problema è un altro
dal messaggio mi pare di capire che un pacchetto generato ad hoc con 
indirizzo con porta di partenza 53 riesce a passare in barba al firewall!


 indirizzo con porta di partenza 53 riesce a passare in barba al firewall!
be' verifica no? netcat lo conosci vero ?
ciao.
-- 
-------------------------------------------------------------------------------
Se Mina fosse nata in Giappone, probabilmente avrebbe cantato:
"Sei glande, glande, glande come te, sei solamente tu..."
                -- Letta da qualche parte sui newsgroup it.*
-------------------------------------------------------------------------------

 macchine che conosco.
AFAIK nessus effetua 'sti scan usando nmap...
cmq, il problema riscontrato è il problema comune di tutti gli stateless
(ammesso che sia ciò che intendo) e non è relativo alla presenza di un dns
sul FW, ma alla necessità di far uscire la rete interna verso tutti i dns
esterni:
se la 53 deve essere raggiungibile e deve poter rispondere (sennò le
risoluzioni dns come le fai?!?) necessariamente udp packet con srcpt=53
e dstpt>1024 passano, per bene che sian fatte le rules...
Il motivo per cui su iptables non passano è (a parte un eventuale e saggio
utilizzo degli stati) il fatto che in iptables ciò che passa in forward
non passa prima in input, come accade in ipchains, e quindi tutta la input
è chiusa...
Cmq, se posti le regole si può ipotizzare decisamente meglio...
I miei 2 cent...
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The Skull says:
The old signature is gone...
Won't you suggest me a new one?!?

 indirizzo con porta di partenza 53 riesce a passare in barba al firewall!
ipchains non e` statuful, e nessun avra` rilevato il fatto che accetti
pacchetti dalla 53, senza nessun'altra considerazione.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Don't use a big word where a diminutive one will suffice.

 
Dunque... una query DNS manda un pacchetto UDP alla porta 53 del DNS
server remoto e si aspetta un pacchetto UDP in risposta dal server remoto
proveniente dalla stessa porta. 
Una soluzione potrebbe essere di permettere il passaggio di pacchetti UDP
provenienti dalla porta 53 *solo* dei DNS server esterni che usi, e
rifiutare tutti gli altri indirizzi sorgente, usando un comando tipo:
iptables -A -p udp -s ! ip.del.tuo.dns --sport 53 .. .. .. -j DROP
Ovviamente il tuo firewall deve essere aperto ai pacchetti provenienti
dalla porta 53/UDP di server remoti, altrimenti non potresti risolvere i
nomi in ip, e magari è aperta a *tutti* invece che solo ai DNS del tuo
provider.
HTH
-- 
Mario "Reliant" Pascucci
Home: 
http://digilander.libero.it/tailchaser
Linux User #327002 - 
http://counter.li.org/
 - RedHat Powered

 è chiusa...
Uh,  questo non  lo sapevo,  pensavo che  solo ipfwadm  si comportasse
cosi' (il  predecessore di  ipchains sui kernel  2.0) ma non  ho avuto
l'occasione di provare ne' l'uno ne' l'altro.
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.