VulDB: NetScreen-Security Manager 2004 bis mit Feature Pack 1 fehlende Verschlüsselung
Allgemein
scipID: 485
Betroffen: NetScreen-Security Manager 2004 bis mit Feature Pack 1
Veröffentlicht: 19.01.2004 (NetScreen)
Risiko: 
problematisch
Beschreibung
Der NetScreen-Security Manager ist für die Verwaltung von Systemen, die das hauseigene ScreenOS 5.0 unterstützen, zuständig. Wie NetScreen in ihrem Advisory zugegeben hat, wird bei dieser Kommunikation auf das Nutzen von kryptographischer Methoden verzichtet. Die fehlende Verschlüsselung kann dazu führen, dass ein Angreifer in den Besitz sensitiver Informationen kommt und diese zu seinen Zwecken missbrauchen kann. NetScreen weisst darauf hin, dass der Fehler durch das kommende Feature Pack 1 behoben werden wird. Um die Verschlüsselung mittels AES 128 zu aktivieren, wird im Advisory zwei Möglichkeiten aufgelistet. Die erste besteht darin, in der Datei /usr/netscreen/DevSvr/var/devSvr.cfg die Zeile "devSvrManager.cryptoKeyLength 128" hinzuzufügen. Die zweite besteht darin, das Skript addCryptoParam.sh, das von http://www.netscreen.com/cso bezogen werden kann, auszuführen. Danach gilt es den DevSvr Dienst neu zu starten.
Fehlende Verschlüsselung bei der Remote-Administration ist bei vielen Appliance Boxen ein Problem. Es bleibt zu hoffen, dass das Vorgehen von NetScreen Schule macht und in Zukunft sämtliche Hersteller entsprechender Lösungen kryptographische Methoden integrieren werden.
Exploiting
Klasse: Fehlende Verschlüsselung
Lokal: Ja
Remote: Ja
Exploit: http://www.tcpdump.org
Milw0rm: –
Nessus: –
ATK: –
Gegenmassnahmen
Status: Es wurde ein Patch herausgegeben.
Bestätigung: http://www.netscreen.com/services/security/alerts/1_19_04_58290.jsp
Massnahme: Den freigegebenen Patch einspielen.
Link: http://www.netscreen.com/services/security/alerts/1_19_04_58290.jsp
Snort: –
Pattern: –
Quellen
Advisory: http://www.netscreen.com/services/security/alerts/1_19_04_58290.jsp
CVE: CVE-2004-1766
OSVDB: 3613
Securityfocus: 9455
Secunia: 10675
X-Force: 14886
Securitytracker: –
VUPEN: –
Securiteam: –
Tecchannel: 1939
Heise: –
smSS: –
Andere: http://www.netscreen.com/services/security/
Andere: http://www.netscreen.com/cso
Buchtipp: George Kurtz, Stuart McClure und Joel Scambray (2002), Das Anti-Hacker-Buch, mitp, ISBN 3826608453 (amazon.de)
