多个IDS产品全角/半角Unicode编码检测漏报漏洞

受影响系统：   : _) v& ^9 s# y! @) k" A3 [
Cisco IPS
3 [* b9 n. y4 r$ a6 d/ jCheck Point Software Web Intelligence ' w! ?$ l9 S$ a# x
IBM ISS Proventia  # [9 P- T+ L! o/ ]/ _9 V6 X
' G: L8 C, M+ ]  h
描述：  ; n+ O% U0 |0 e  J5 ?
BUGTRAQ  ID: 23980% E% o- F% Q( q; a

  M) }9 N& I/ F- ?/ K6 qCheckpoint Web Intelligence、IBM ISS Proventia、Cisco IPS都是流行的网络入侵检测/保护系统。% W- ~( z7 B! Y2 T% J

( I2 i1 h* g8 V$ q1 E! Z2 B% yCheckpoint Web Intelligence、IBM ISS Proventia、Cisco IPS等多个入侵保护系统没能正确地处理特别的Unicode编码，远程攻击者可能利用此漏洞绕过IPS产品的攻击检测。: F# C1 f4 Q- W# O
( I' D1 g  a7 Z$ h+ ?* g
HTTP内容扫描系统中的预处理器可以解码各种类型的HTTP编码请求（如UTF编码）以进行攻击特征分析，但很多IDS产品中的各种HTTP内容扫描系统没有正确地扫描全角Unicode（(%uff）编码通讯以进行分析、大小写转换和字符匹配。如果向有漏洞的设备发送了上述编码的HTTP通讯的话，就可以绕过内容扫描系统，执行各种网络攻击。' ]5 h/ f* E( [3 l7 Q4 ?9 f

9 O6 F3 m* c5 e3 k1 }" h<*来源：Fatih Ozavci
& l' J1 K+ C) E3 s1 r0 C        Caglar Cakici
! N2 E0 w% A% ^: o4 |  
6 g6 j  v' ]+ J! ~0 e  链接：http://secunia.com/advisories/25285/
$ R! I! D5 }+ v* V$ d. _* L: ]$ T        http://www.cisco.com/warp/public/707/cisco-sr-20070514-unicode.shtml4 p/ j9 f* \+ u9 j
        http://www.kb.cert.org/vuls/id/7392245 D) I% U8 r. h' a9 V( K
        http://marc.info/?l=bugtraq&;amp;m=117924522422011&;amp;w=29 p5 Y# G- ~$ K6 Z+ x- y
*>8 |( w8 L3 i. R/ P$ m

4 P' E  I7 v* D# O. u* N* y建议：  ) g9 o5 S" f% X5 Q
厂商补丁：
  z: y" Y5 M! T% T/ l2 z# B) M
- S- ^& x2 f" dCheck Point Software+ ]8 D& K1 V% [5 k0 i3 Q
--------------------; ^( ^8 Y; r- p7 N) P8 e
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：4 s% W3 d! h) [4 H

5 Z8 ^0 r" a6 ]9 L1 f' ^" {4 Nhttp://www.checkpoint.com
) P' O6 @* v3 I2 d) U
* g; o7 l9 O: lCisco
3 r3 w/ p; ?3 v' l) I-----
" `: r, t- f# Y  R6 i" W目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
7 H* |! `# B- X, l6 c7 ~* ?% v9 @% L
) K' G9 ^" A' xhttp://www.cisco.com/warp/public/707/advisory.html( ~9 |; g! h% i* n9 ~  i8 F, i
  ^/ c4 A* A3 ^
IBM: f; P) q6 V' s0 k9 p3 }
---2 q( e+ d# n5 C* t1 C$ k
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
3 ?+ {) v) a7 c' V# _* x( @1 `3 |# i, J3 r
http://www.ers.ibm.com/