Bulletin d'alerte du CERT-FR

Description

SNMP est un protocole permettant à deux entités d'échanger des messages. Ce protocole est décrit dans le document rfc 1157 (SNMP V1) : un agent répond au sollicitation d'une console (requêtes GET, GET_NEXT ou SET) et peut également envoyer des messages de façon asynchrone (TRAP).

Les tests effectués à l'université de OULU mettent en évidence que de nombreuses vulnérabilités ( débordement de mémoire, chaîne de format, ...) existent dans les routines de décodage et de traitement des messages SNMP.

L'exploitation de ces vulnérabilités peut conduire à un déni de service et même l'exécution de code arbitraire à distance sur les plate-formes considérées.

Contournement provisoire

• Ne démarrer le service SNMP que si celui-ci est nécessaire ;

• utiliser les capacités de filtrage que possèdent que possèdent certains agent SNMP. Par exemple, il est possible d'indiquer à l'agent qu'il ne peut répondre qu'aux requêtes des consoles SNMP dont l'adresse IP est présente dans un fichier de configuration ;

• ne pas utiliser les noms de communautés positionnés lors de l'installation par défaut ;

• filtrer les ports 161/udp et 162/udp utilisés par le protocole SNMP V1 au niveau du garde-barrière afin d'empêcher l'exploitation de ces vulnérabilités depuis l'Internet.

  A noter que des services RPC ( 100122 snmp, 100138 snmpV2, 100249 snmpXdmid) et certains ports d'utilisation moins courante sont également concernés :

  Port	Description
  161/tcp et 162/tcp	SNMP sur tcp
  199/tcp et 199/udp	smux
  391/tcp et 391/udp	SynOptics relay port
  705/tcp	agentX
  1993/tcp et 1993/udp	Cisco SNMP port

Solution

Se référer à l'avis du CERT/CC (cf. section documentation) pour obtenir la liste des systèmes affectés et les correctifs disponibles.