Check Point VPN-1防火墙产品端口地址翻译信息泄露漏洞

SEBUGID:SSD-20081114457

Published:2008-11-14

Vulnerable:

Check Point Software VPN-1 UTM NGX R65
Check Point Software VPN-1 Power

Discription:

BUGTRAQ ID: 32306

Check Point VPN-1 Power和UTM都是Check Point开发的防火墙类产品。

如果远程攻击者向VPN-1 Power和UTM所发送的特制报文被端口地址翻译（PAT）映射到内部设备上的端口的话，生成的ICMP错误报文中可能会包含有关内部网络的信息。此时如果存活时间（TTL）设置的过低的话，上述防火墙产品就无法正确的过滤ICMP报文中的封装IP头，导致泄露内部IP地址。

<*References

Tim Brown （securityfocus@machine.org.uk）
Mark Lowe
http://www.portcullis-security.com/293.php

SEBUG Solution:

Check Point Software
--------------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.checkpoint.com

Exploit:

[www.sebug.net]
The following procedures (methods) may contain something offensive，they are only for security researches and teaching , at your own risk!

向防火墙接口的18264/tcp端口发送报文。TTL设置得很低，因此无法转发报文： 

14:56:25.169480 IP (tos 0xe0, ttl 255, id 21407, offset 0, flags [none], proto: ICMP (1), length: 68) 193.0.0.1 > 194.0.0.1: ICMP time exceeded in-transit, length 48 

IP (tos 0x0, ttl 1, id 5120, offset 0, flags [none], proto: TCP (6), length: 40) 194.0.0.1.9003 > 10.0.0.99.18264: S, cksum 0x03e6 (correct), 2834356043:2834356043(0) win 512 

封装IP报文的目标地址为防火墙管理服务器的地址。

// Sebug.net [ 2008-11-17 ]