Re: Possible FP 17379

[Alex Kirk <akirk () sourcefire com>]

Yeah, turn it off for now. I accidentally missed a "within" on that second
content match, and support's getting flooded with calls on it. We've fixed
it in CVS, it'll go out next release.

On Wed, Aug 24, 2011 at 11:10 AM, Lay, James <james.lay () wincofoods com>wrote:

> Got 261 of these within 14 minutes after updating the rules.  Ouchies.
>
> Rule:
> alert tcp $EXTERNAL_NET $HTTP_PORTS -> $HOME_NET any (msg:"WEB-CLIENT
> Mozilla Firefox Animated PNG Processing integer overflow";
> flow:established,to_client; flowbits:isset,http.png; content:"IHDR";
> byte_test:4,>,32767,8,relative; content:"|01|"; distance:12;
> metadata:policy balanced-ips drop, policy security-ips drop, service
> http; reference:cve,2008-4064; classtype:attempted-user; sid:17379;
> rev:2;)
>
> Hit:
> ------------------------------------------------------------------------
> ------
> #(1 - 21801) [2011-08-24 08:24:45] [cve/2008-4064] [icat/2008-4064]
> [local rules dir: sid:17379;][snort/1-17379]  WEB-CLIENT Mozilla Firefox
> Animated PNG Processing integer overflow
> IPv4: 65.54.95.36 -> <bleh>
>      hlen=5 TOS=0 dlen=1440 ID=55522 flags=0 offset=0 TTL=52
> chksum=48630
> TCP:  port=80 -> dport: 38323  flags=***A**** seq=1004746155
>      ack=789171910 off=5 res=0 win=65535 urp=0 chksum=1511
> Payload:  length = 1400
>
> 000 : 48 54 54 50 2F 31 2E 31 20 32 30 30 20 4F 4B 0D   HTTP/1.1 200 OK.
> 010 : 0A 43 61 63 68 65 2D 43 6F 6E 74 72 6F 6C 3A 20   .Cache-Control:
> 020 : 6D 61 78 2D 61 67 65 3D 33 31 35 33 36 30 30 30   max-age=31536000
> 030 : 0D 0A 43 6F 6E 74 65 6E 74 2D 54 79 70 65 3A 20   ..Content-Type:
> 040 : 69 6D 61 67 65 2F 70 6E 67 0D 0A 41 63 63 65 70   image/png..Accep
> 050 : 74 2D 52 61 6E 67 65 73 3A 20 62 79 74 65 73 0D   t-Ranges: bytes.
> 060 : 0A 45 54 61 67 3A 20 22 38 30 32 39 32 38 64 37   .ETag: "802928d7
> 070 : 62 36 39 31 63 62 31 3A 30 22 2C 20 0D 0A 53 65   b691cb1:0", ..Se
> 080 : 72 76 65 72 3A 20 4D 69 63 72 6F 73 6F 66 74 2D   rver: Microsoft-
> 090 : 49 49 53 2F 37 2E 30 0D 0A 58 2D 50 6F 77 65 72   IIS/7.0..X-Power
> 0a0 : 65 64 2D 42 79 3A 20 41 53 50 2E 4E 45 54 0D 0A   ed-By: ASP.NET..
> 0b0 : 53 65 72 76 65 72 3A 20 63 6F 31 6D 70 70 73 74   Server: co1mppst
> 0c0 : 63 61 30 33 0D 0A 50 33 50 3A 20 43 50 3D 22 42   ca03..P3P: CP="B
> 0d0 : 55 53 20 43 55 52 20 43 4F 4E 6F 20 46 49 4E 20   US CUR CONo FIN
> 0e0 : 49 56 44 6F 20 4F 4E 4C 20 4F 55 52 20 50 48 59   IVDo ONL OUR PHY
> 0f0 : 20 53 41 4D 6F 20 54 45 4C 6F 22 0D 0A 43 6F 6E    SAMo TELo"..Con
> 100 : 74 65 6E 74 2D 4C 65 6E 67 74 68 3A 20 32 32 35   tent-Length: 225
> 110 : 37 0D 0A 41 67 65 3A 20 35 34 32 31 32 30 34 0D   7..Age: 5421204.
> 120 : 0A 44 61 74 65 3A 20 57 65 64 2C 20 32 34 20 41   .Date: Wed, 24 A
> 130 : 75 67 20 32 30 31 31 20 31 34 3A 32 35 3A 31 37   ug 2011 14:25:17
> 140 : 20 47 4D 54 0D 0A 4C 61 73 74 2D 4D 6F 64 69 66    GMT..Last-Modif
> 150 : 69 65 64 3A 20 54 68 75 2C 20 30 32 20 44 65 63   ied: Thu, 02 Dec
> 160 : 20 32 30 31 30 20 30 30 3A 32 31 3A 31 39 20 47    2010 00:21:19 G
> 170 : 4D 54 0D 0A 45 78 70 69 72 65 73 3A 20 54 68 75   MT..Expires: Thu
> 180 : 2C 20 32 31 20 4A 75 6E 20 32 30 31 32 20 32 30   , 21 Jun 2012 20
> 190 : 3A 33 31 3A 35 33 20 47 4D 54 0D 0A 43 6F 6E 6E   :31:53 GMT..Conn
> 1a0 : 65 63 74 69 6F 6E 3A 20 6B 65 65 70 2D 61 6C 69   ection: keep-ali
> 1b0 : 76 65 0D 0A 0D 0A 89 50 4E 47 0D 0A 1A 0A 00 00   ve.....PNG......
> 1c0 : 00 0D 49 48 44 52 00 00 00 16 00 00 01 43 08 02   ..IHDR.......C..
> 1d0 : 00 00 00 B1 E2 69 9C 00 00 00 19 74 45 58 74 53   .....i.....tEXtS
> 1e0 : 6F 66 74 77 61 72 65 00 41 64 6F 62 65 20 49 6D   oftware.Adobe Im
> 1f0 : 61 67 65 52 65 61 64 79 71 C9 65 3C 00 00 08 73   ageReadyq.e<...s
> 200 : 49 44 41 54 78 DA EC 5B 7B 6C 53 D7 19 3F F6 BD   IDATx..[{lS..?..
> 210 : BE 8E 1F 35 89 13 02 19 29 49 DD 82 40 72 80 94   ...5....)I..@r..
> 220 : A4 D0 07 D3 1A 56 A2 AD A0 4D 22 54 FD 23 4D B7   .....V...M"T.#M.
> 230 : A9 0A 9B B6 36 D3 BA 4A 43 A2 3C C4 D4 AA 54 6D   ....6..JC.<...Tm
> 240 : 85 D6 75 0B 52 59 E9 FB 91 32 A1 89 AA D0 36 2D   ..u.RY...2....6-
> 250 : 6D 43 A1 24 0D C1 DE 3C D4 60 12 48 9A 25 4E 1C   mC.$...<.`.H.%N.
> 260 : 27 F1 2B D7 8F BB CF 3E EE E5 F6 5E 5F DF 6B C7   '.+....>...^_.k.
> 270 : 45 26 3A 5F C8 D5 39 E7 9E DF EF FC CE F7 9D F3   E&:_..9.........
> 280 : DD EB E3 80 B8 6C AC B5 B5 55 DA A8 81 5F A4 CE   .....l...U..._..
> 290 : B6 6F DF 8E 0B ED ED ED C2 76 6D 56 78 0C E6 B9   .o.......vmVx...
> 2a0 : B0 A9 52 21 C4 4B AB 48 CD FC 79 17 08 0B 7C 79   ..R!.K.H..y...|y
> 2b0 : DE F8 42 99 42 EC 3C 49 63 16 BE 90 33 42 41 28   ..B.B.<Ic...3BA(
> 2c0 : BE 27 0A 6D 56 BD EB EA EA E6 A4 82 C7 77 77 77   .'.mV........www
> 2d0 : E7 A2 02 E3 31 58 A4 45 95 0A 21 5E 5A 55 4E 7C   ....1X.E..!^ZUN|
> 2e0 : 6B 93 C6 97 A5 8D F3 C6 17 CA 14 62 E7 49 1A C9   k..........b.I..
> 2f0 : 36 23 14 D7 27 C5 C8 C8 C8 F8 F8 B8 C7 E3 09 06   6#..'...........
> 300 : 83 50 35 1A 8D 0B 17 2E 2C 2B 2B AB A8 A8 E8 E8   .P5.....,++.....
> 310 : E8 68 6A 6A C2 DD 68 39 FC C0 C0 80 DB ED F6 7A   .hjj..h9.......z
> 320 : BD 7C 4B 38 1C 86 2A 30 76 75 75 09 7B D2 72 E3   .|K8..*0vuu.{.r.
> 330 : 63 BC D5 6A C5 23 43 23 56 24 24 CD 44 01 BD 31   c..j.#C#V$$.D..1
> 340 : DE 66 B3 55 57 57 E3 46 AC 5F ED 43 00 46 83 2B   .f.UWW.F._.C.F.+
> 350 : 8C CF E3 C1 D2 E2 0B 3C A8 22 CD 7C FC C0 1C 0E   .......<.".|....
> 360 : C7 85 0B 17 C0 4D 0D 0D 0D 6A D3 AF 10 0F 91 E6   .....M...j......
> 370 : DD A4 10 11 DE 60 34 18 56 14 54 68 C4 2D CA 14   .....`4.V.Th.-..
> 380 : D0 D5 9B 34 50 2E 6C 84 48 43 80 95 29 40 7F 86   ...4P.l.HC..)@ .
> 390 : 05 4E F2 05 A1 B8 FE 29 60 5F 3A 9D CE 8B EE C4   .N.....)`_:.....
> 3a0 : 0F 54 6D 37 27 7E EC 76 3B A4 B2 B6 B6 B6 03 07   .Tm7'~.v;.......
> 3b0 : 0E 28 EC 11 D8 A0 9D 1F 77 62 30 36 28 BB 2F BA   .(......wb06(./.
> 3c0 : 79 46 85 6D 06 E3 63 3C 8C 5B 63 AF 81 AD 99 A0   yF.m..c<.[c.....
> 3d0 : 70 BB 1D 4E 87 08 2F 4B 01 FA 31 BE E1 EE 86 9A   p..N../K..1.....
> 3e0 : 9A 1A DC 08 FA 8F 1E 3D AA 36 83 83 56 B8 C2 F8   .......=.6..V...
> 3f0 : 3C 1E 0C E6 7F DD 05 55 A4 99 8F 1F 58 67 67 27   <... ..U....Xgg'
> 400 : 78 04 DC D4 F6 48 9B DA 0C 2E C4 43 A4 21 28 50   x....H.....C.!(P
> 410 : 80 05 A2 36 83 C3 68 30 AC 28 A8 D0 08 0B 4C 15   ...6..h0.(....L.
> 420 : 05 74 C5 CB 49 D4 08 91 16 3E 6B E9 0C FA 33 2C   .t..I....>k...3,
> 430 : 70 92 2F 08 C5 7C A1 C8 CF E9 DA 5C CF F8 44 30   p./..|.....\..D0
> 440 : A9 A8 3C 9C 77 5E AB 53 D7 F9 E1 8B 7C 9E C6 93   ..<.w^.S....|...
> 450 : 6D 46 28 0A 8E 22 3F A7 6B 73 3D E3 13 C1 A4 A2   mF(.."?.ks=.....
> 460 : F2 70 DE 79 AD 4E 5D E7 87 2F 44 7E 21 89 8F 50   .p.y.N]../D~!..P
> 470 : 10 8A DC 29 0E 7D EE 54 89 F9 D5 5D F6 34 14 80   ...).}.T...].4..
> 480 : AF 5B 73 93 4A 8A EE 73 97 84 2C 5A 34 67 BB FA   .[s.J..s..,Z4g..
> 490 : 09 31 1A 8B E3 C2 52 46 5F 6A 60 62 1C 1A 0E 04   .1....RF_j`b....
> 4a0 : 27 62 B1 2C 28 62 D1 54 EF 62 0B B3 B6 37 51 F8   'b.,(b.T.b...7Q.
> 4b0 : 7C 95 7E CC 37 93 05 05 6F 94 26 55 30 52 54 7D   |.~.7...o.&U0RT}
> 4c0 : 69 71 22 B3 21 74 D9 1F 1C 9B 65 15 28 66 23 AC   iq".!t....e.(f#.
> 4d0 : 5E C7 C0 95 6F B9 B5 F7 6A 3F 50 74 C5 EF 17 75   ^...o...j?Pt...u
> 4e0 : 48 E3 4E E9 6D DE 0C 14 25 D7 E1 3B 13 99 65 63   H.N.m...%..;..ec
> 4f0 : 7A 86 E2 AB 5F D5 22 36 CA 69 29 0D 4C 6D 22 C4   z..._."6.i).Lm".
> 500 : 4A 3B 48 26 C2 C6 F8 6B 2A B9 43 98 34 71 94 0C   J;H&...k*.C.4q..
> 510 : 54 20 16 95 76 90 75 67 24 0A D8 84 4B 93 71 49   T ..v.ug$...K.qI
> 520 : 8D D9 53 6B EC F7 4E A5 9D A3 56 80 8C E2 7F 23   ..Sk..N...V... #
> 530 : E1 10 4C 21 AD E1 0E CA 2A 60 34 13 45 F7 D4 32   ..L!....*`4.E..2
> 540 : 57 77 01 42 E3 21 56 0A 16 53 F0 3D A0 F0 C5 95   Ww.B.!V..S.=....
> 550 : 61 F5 0B 3C 0F 7B 24 7F 9B 9D E4 4E 42 41 28 AE   a..<.{$ ...NBA(.
> 560 : 67 8A BE 41 EF 8E 37 BA E3 1C A7 D3 6A 9E 69 59   g..A..7.....j.iY
> 570 : B7 BC 62 81 32 45 C7 99                           ..b.2E..
>
>
>
>
> ------------------------------------------------------------------------------
> EMC VNX: the world's simplest storage, starting under $10K
> The only unified storage solution that offers unified management
> Up to 160% more powerful than alternatives and 25% more efficient.
> Guaranteed. http://p.sf.net/sfu/emc-vnx-dev2dev
> _______________________________________________
> Snort-sigs mailing list
> Snort-sigs () lists sourceforge net
> https://lists.sourceforge.net/lists/listinfo/snort-sigs
> http://www.snort.org
>
>
> Please visit http://blog.snort.org for the latest news about Snort!



-- 
Alex Kirk
AEGIS Program Lead
Sourcefire Vulnerability Research Team
+1-410-423-1937
alex.kirk () sourcefire com

------------------------------------------------------------------------------
EMC VNX: the world's simplest storage, starting under $10K
The only unified storage solution that offers unified management 
Up to 160% more powerful than alternatives and 25% more efficient. 
Guaranteed. http://p.sf.net/sfu/emc-vnx-dev2dev

_______________________________________________
Snort-sigs mailing list
Snort-sigs () lists sourceforge net
https://lists.sourceforge.net/lists/listinfo/snort-sigs
http://www.snort.org


Please visit http://blog.snort.org for the latest news about Snort!