Snort mailing list archives
Re: Possible FP 17379
From: Alex Kirk <akirk () sourcefire com>
Date: Wed, 24 Aug 2011 11:13:31 -0400
Yeah, turn it off for now. I accidentally missed a "within" on that second content match, and support's getting flooded with calls on it. We've fixed it in CVS, it'll go out next release. On Wed, Aug 24, 2011 at 11:10 AM, Lay, James <james.lay () wincofoods com>wrote:
Got 261 of these within 14 minutes after updating the rules. Ouchies. Rule: alert tcp $EXTERNAL_NET $HTTP_PORTS -> $HOME_NET any (msg:"WEB-CLIENT Mozilla Firefox Animated PNG Processing integer overflow"; flow:established,to_client; flowbits:isset,http.png; content:"IHDR"; byte_test:4,>,32767,8,relative; content:"|01|"; distance:12; metadata:policy balanced-ips drop, policy security-ips drop, service http; reference:cve,2008-4064; classtype:attempted-user; sid:17379; rev:2;) Hit: ------------------------------------------------------------------------ ------ #(1 - 21801) [2011-08-24 08:24:45] [cve/2008-4064] [icat/2008-4064] [local rules dir: sid:17379;][snort/1-17379] WEB-CLIENT Mozilla Firefox Animated PNG Processing integer overflow IPv4: 65.54.95.36 -> <bleh> hlen=5 TOS=0 dlen=1440 ID=55522 flags=0 offset=0 TTL=52 chksum=48630 TCP: port=80 -> dport: 38323 flags=***A**** seq=1004746155 ack=789171910 off=5 res=0 win=65535 urp=0 chksum=1511 Payload: length = 1400 000 : 48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D HTTP/1.1 200 OK. 010 : 0A 43 61 63 68 65 2D 43 6F 6E 74 72 6F 6C 3A 20 .Cache-Control: 020 : 6D 61 78 2D 61 67 65 3D 33 31 35 33 36 30 30 30 max-age=31536000 030 : 0D 0A 43 6F 6E 74 65 6E 74 2D 54 79 70 65 3A 20 ..Content-Type: 040 : 69 6D 61 67 65 2F 70 6E 67 0D 0A 41 63 63 65 70 image/png..Accep 050 : 74 2D 52 61 6E 67 65 73 3A 20 62 79 74 65 73 0D t-Ranges: bytes. 060 : 0A 45 54 61 67 3A 20 22 38 30 32 39 32 38 64 37 .ETag: "802928d7 070 : 62 36 39 31 63 62 31 3A 30 22 2C 20 0D 0A 53 65 b691cb1:0", ..Se 080 : 72 76 65 72 3A 20 4D 69 63 72 6F 73 6F 66 74 2D rver: Microsoft- 090 : 49 49 53 2F 37 2E 30 0D 0A 58 2D 50 6F 77 65 72 IIS/7.0..X-Power 0a0 : 65 64 2D 42 79 3A 20 41 53 50 2E 4E 45 54 0D 0A ed-By: ASP.NET.. 0b0 : 53 65 72 76 65 72 3A 20 63 6F 31 6D 70 70 73 74 Server: co1mppst 0c0 : 63 61 30 33 0D 0A 50 33 50 3A 20 43 50 3D 22 42 ca03..P3P: CP="B 0d0 : 55 53 20 43 55 52 20 43 4F 4E 6F 20 46 49 4E 20 US CUR CONo FIN 0e0 : 49 56 44 6F 20 4F 4E 4C 20 4F 55 52 20 50 48 59 IVDo ONL OUR PHY 0f0 : 20 53 41 4D 6F 20 54 45 4C 6F 22 0D 0A 43 6F 6E SAMo TELo"..Con 100 : 74 65 6E 74 2D 4C 65 6E 67 74 68 3A 20 32 32 35 tent-Length: 225 110 : 37 0D 0A 41 67 65 3A 20 35 34 32 31 32 30 34 0D 7..Age: 5421204. 120 : 0A 44 61 74 65 3A 20 57 65 64 2C 20 32 34 20 41 .Date: Wed, 24 A 130 : 75 67 20 32 30 31 31 20 31 34 3A 32 35 3A 31 37 ug 2011 14:25:17 140 : 20 47 4D 54 0D 0A 4C 61 73 74 2D 4D 6F 64 69 66 GMT..Last-Modif 150 : 69 65 64 3A 20 54 68 75 2C 20 30 32 20 44 65 63 ied: Thu, 02 Dec 160 : 20 32 30 31 30 20 30 30 3A 32 31 3A 31 39 20 47 2010 00:21:19 G 170 : 4D 54 0D 0A 45 78 70 69 72 65 73 3A 20 54 68 75 MT..Expires: Thu 180 : 2C 20 32 31 20 4A 75 6E 20 32 30 31 32 20 32 30 , 21 Jun 2012 20 190 : 3A 33 31 3A 35 33 20 47 4D 54 0D 0A 43 6F 6E 6E :31:53 GMT..Conn 1a0 : 65 63 74 69 6F 6E 3A 20 6B 65 65 70 2D 61 6C 69 ection: keep-ali 1b0 : 76 65 0D 0A 0D 0A 89 50 4E 47 0D 0A 1A 0A 00 00 ve.....PNG...... 1c0 : 00 0D 49 48 44 52 00 00 00 16 00 00 01 43 08 02 ..IHDR.......C.. 1d0 : 00 00 00 B1 E2 69 9C 00 00 00 19 74 45 58 74 53 .....i.....tEXtS 1e0 : 6F 66 74 77 61 72 65 00 41 64 6F 62 65 20 49 6D oftware.Adobe Im 1f0 : 61 67 65 52 65 61 64 79 71 C9 65 3C 00 00 08 73 ageReadyq.e<...s 200 : 49 44 41 54 78 DA EC 5B 7B 6C 53 D7 19 3F F6 BD IDATx..[{lS..?.. 210 : BE 8E 1F 35 89 13 02 19 29 49 DD 82 40 72 80 94 ...5....)I..@r.. 220 : A4 D0 07 D3 1A 56 A2 AD A0 4D 22 54 FD 23 4D B7 .....V...M"T.#M. 230 : A9 0A 9B B6 36 D3 BA 4A 43 A2 3C C4 D4 AA 54 6D ....6..JC.<...Tm 240 : 85 D6 75 0B 52 59 E9 FB 91 32 A1 89 AA D0 36 2D ..u.RY...2....6- 250 : 6D 43 A1 24 0D C1 DE 3C D4 60 12 48 9A 25 4E 1C mC.$...<.`.H.%N. 260 : 27 F1 2B D7 8F BB CF 3E EE E5 F6 5E 5F DF 6B C7 '.+....>...^_.k. 270 : 45 26 3A 5F C8 D5 39 E7 9E DF EF FC CE F7 9D F3 E&:_..9......... 280 : DD EB E3 80 B8 6C AC B5 B5 55 DA A8 81 5F A4 CE .....l...U..._.. 290 : B6 6F DF 8E 0B ED ED ED C2 76 6D 56 78 0C E6 B9 .o.......vmVx... 2a0 : B0 A9 52 21 C4 4B AB 48 CD FC 79 17 08 0B 7C 79 ..R!.K.H..y...|y 2b0 : DE F8 42 99 42 EC 3C 49 63 16 BE 90 33 42 41 28 ..B.B.<Ic...3BA( 2c0 : BE 27 0A 6D 56 BD EB EA EA E6 A4 82 C7 77 77 77 .'.mV........www 2d0 : E7 A2 02 E3 31 58 A4 45 95 0A 21 5E 5A 55 4E 7C ....1X.E..!^ZUN| 2e0 : 6B 93 C6 97 A5 8D F3 C6 17 CA 14 62 E7 49 1A C9 k..........b.I.. 2f0 : 36 23 14 D7 27 C5 C8 C8 C8 F8 F8 B8 C7 E3 09 06 6#..'........... 300 : 83 50 35 1A 8D 0B 17 2E 2C 2B 2B AB A8 A8 E8 E8 .P5.....,++..... 310 : E8 68 6A 6A C2 DD 68 39 FC C0 C0 80 DB ED F6 7A .hjj..h9.......z 320 : BD 7C 4B 38 1C 86 2A 30 76 75 75 09 7B D2 72 E3 .|K8..*0vuu.{.r. 330 : 63 BC D5 6A C5 23 43 23 56 24 24 CD 44 01 BD 31 c..j.#C#V$$.D..1 340 : DE 66 B3 55 57 57 E3 46 AC 5F ED 43 00 46 83 2B .f.UWW.F._.C.F.+ 350 : 8C CF E3 C1 D2 E2 0B 3C A8 22 CD 7C FC C0 1C 0E .......<.".|.... 360 : C7 85 0B 17 C0 4D 0D 0D 0D 6A D3 AF 10 0F 91 E6 .....M...j...... 370 : DD A4 10 11 DE 60 34 18 56 14 54 68 C4 2D CA 14 .....`4.V.Th.-.. 380 : D0 D5 9B 34 50 2E 6C 84 48 43 80 95 29 40 7F 86 ...4P.l.HC..)@ . 390 : 05 4E F2 05 A1 B8 FE 29 60 5F 3A 9D CE 8B EE C4 .N.....)`_:..... 3a0 : 0F 54 6D 37 27 7E EC 76 3B A4 B2 B6 B6 B6 03 07 .Tm7'~.v;....... 3b0 : 0E 28 EC 11 D8 A0 9D 1F 77 62 30 36 28 BB 2F BA .(......wb06(./. 3c0 : 79 46 85 6D 06 E3 63 3C 8C 5B 63 AF 81 AD 99 A0 yF.m..c<.[c..... 3d0 : 70 BB 1D 4E 87 08 2F 4B 01 FA 31 BE E1 EE 86 9A p..N../K..1..... 3e0 : 9A 1A DC 08 FA 8F 1E 3D AA 36 83 83 56 B8 C2 F8 .......=.6..V... 3f0 : 3C 1E 0C E6 7F DD 05 55 A4 99 8F 1F 58 67 67 27 <... ..U....Xgg' 400 : 78 04 DC D4 F6 48 9B DA 0C 2E C4 43 A4 21 28 50 x....H.....C.!(P 410 : 80 05 A2 36 83 C3 68 30 AC 28 A8 D0 08 0B 4C 15 ...6..h0.(....L. 420 : 05 74 C5 CB 49 D4 08 91 16 3E 6B E9 0C FA 33 2C .t..I....>k...3, 430 : 70 92 2F 08 C5 7C A1 C8 CF E9 DA 5C CF F8 44 30 p./..|.....\..D0 440 : A9 A8 3C 9C 77 5E AB 53 D7 F9 E1 8B 7C 9E C6 93 ..<.w^.S....|... 450 : 6D 46 28 0A 8E 22 3F A7 6B 73 3D E3 13 C1 A4 A2 mF(.."?.ks=..... 460 : F2 70 DE 79 AD 4E 5D E7 87 2F 44 7E 21 89 8F 50 .p.y.N]../D~!..P 470 : 10 8A DC 29 0E 7D EE 54 89 F9 D5 5D F6 34 14 80 ...).}.T...].4.. 480 : AF 5B 73 93 4A 8A EE 73 97 84 2C 5A 34 67 BB FA .[s.J..s..,Z4g.. 490 : 09 31 1A 8B E3 C2 52 46 5F 6A 60 62 1C 1A 0E 04 .1....RF_j`b.... 4a0 : 27 62 B1 2C 28 62 D1 54 EF 62 0B B3 B6 37 51 F8 'b.,(b.T.b...7Q. 4b0 : 7C 95 7E CC 37 93 05 05 6F 94 26 55 30 52 54 7D |.~.7...o.&U0RT} 4c0 : 69 71 22 B3 21 74 D9 1F 1C 9B 65 15 28 66 23 AC iq".!t....e.(f#. 4d0 : 5E C7 C0 95 6F B9 B5 F7 6A 3F 50 74 C5 EF 17 75 ^...o...j?Pt...u 4e0 : 48 E3 4E E9 6D DE 0C 14 25 D7 E1 3B 13 99 65 63 H.N.m...%..;..ec 4f0 : 7A 86 E2 AB 5F D5 22 36 CA 69 29 0D 4C 6D 22 C4 z..._."6.i).Lm". 500 : 4A 3B 48 26 C2 C6 F8 6B 2A B9 43 98 34 71 94 0C J;H&...k*.C.4q.. 510 : 54 20 16 95 76 90 75 67 24 0A D8 84 4B 93 71 49 T ..v.ug$...K.qI 520 : 8D D9 53 6B EC F7 4E A5 9D A3 56 80 8C E2 7F 23 ..Sk..N...V... # 530 : E1 10 4C 21 AD E1 0E CA 2A 60 34 13 45 F7 D4 32 ..L!....*`4.E..2 540 : 57 77 01 42 E3 21 56 0A 16 53 F0 3D A0 F0 C5 95 Ww.B.!V..S.=.... 550 : 61 F5 0B 3C 0F 7B 24 7F 9B 9D E4 4E 42 41 28 AE a..<.{$ ...NBA(. 560 : 67 8A BE 41 EF 8E 37 BA E3 1C A7 D3 6A 9E 69 59 g..A..7.....j.iY 570 : B7 BC 62 81 32 45 C7 99 ..b.2E.. ------------------------------------------------------------------------------ EMC VNX: the world's simplest storage, starting under $10K The only unified storage solution that offers unified management Up to 160% more powerful than alternatives and 25% more efficient. Guaranteed. http://p.sf.net/sfu/emc-vnx-dev2dev _______________________________________________ Snort-sigs mailing list Snort-sigs () lists sourceforge net https://lists.sourceforge.net/lists/listinfo/snort-sigs http://www.snort.org Please visit http://blog.snort.org for the latest news about Snort!
-- Alex Kirk AEGIS Program Lead Sourcefire Vulnerability Research Team +1-410-423-1937 alex.kirk () sourcefire com
------------------------------------------------------------------------------ EMC VNX: the world's simplest storage, starting under $10K The only unified storage solution that offers unified management Up to 160% more powerful than alternatives and 25% more efficient. Guaranteed. http://p.sf.net/sfu/emc-vnx-dev2dev
_______________________________________________ Snort-sigs mailing list Snort-sigs () lists sourceforge net https://lists.sourceforge.net/lists/listinfo/snort-sigs http://www.snort.org Please visit http://blog.snort.org for the latest news about Snort!
Current thread:
- Possible FP 17379 Lay, James (Aug 24)
- Re: Possible FP 17379 Alex Kirk (Aug 24)
- Re: [Spam] Re: Possible FP 17379 Lay, James (Aug 24)
- Re: Possible FP 17379 Alex Kirk (Aug 24)