CVE-2020-13777 के लिए Zeek परीक्षण स्क्रिप्ट

यह स्क्रिप्ट यह जाँचने के लिए एक सरल परीक्षण करती है कि कोई सर्वर CVE-2020-13777 के लिए संभावित रूप से कमजोर है या नहीं।

CVE-2020-13777 के कारण GnuTLS अनएन्क्रिप्टेड सत्र टिकट बनाता है। यह जाँच कर पता लगाया जा सकता है कि gnutls key_name को शून्य पर सेट करता है - जिसके लिए यह सत्र-टिकट के पहले 16 बाइट्स का उपयोग करता है। यह स्क्रिप्ट जाँचती है कि:

• कोई सर्वर एक संदिग्ध सत्र टिकट भेजता है
• कोई क्लाइंट एक संदिग्ध सत्र टिकट के साथ किसी सर्वर से सफलतापूर्वक कनेक्शन फिर से शुरू करता है

दोनों स्थितियाँ इंगित करती हैं कि सर्वर GnuTLS का एक कमजोर संस्करण उपयोग कर रहा है।

पाए गए मामले notice.log में लिखे जाते हैं। उदाहरण आउटपुट:

1591660828.497706	CHhAvVGS1DHFjwGM9	::1	58800	::1	5556	-	-	-	tcp	CVE_2020_13777::CVE_2020_13777_Server	Server potentially vulnerable to CVE-2020-13777 detected	-	::1	::1	5556	-	-	Notice::ACTION_LOG	3600.000000	-	-	-	-	-
1591660837.423412	ClEkJM2Vm5giqnMf4h	::1	58802	::1	5556	-	-	-	tcp	CVE_2020_13777::CVE_2020_13777_Resumed	Server potentially vulnerable to CVE-2020-13777 detected; client resumed with suspicious session ticket	-	::1	::1	5556	-	-	Notice::ACTION_LOG	3600.000000	-	-	-	-	-

सूचनाएँ डीडुप्लीकेट की जाती हैं और प्रत्येक सर्वर के लिए डिफ़ॉल्ट_सप्रेशन_इंटरवल (डिफ़ॉल्ट: 1 घंटा) में केवल एक बार लॉग की जाती हैं।

zkg के माध्यम से स्थापित करने के लिए, बस उपयोग करें:

zkg install 0xxon/cve-2020-0601