Simple policy to detect CVE-2020-16898: Bad Neighbor

Le seguenti funzionalità sono fornite dallo script

:: 1) Lo script verifica secondo l'euristica descritta qui: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

Installazione

zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor
o
@load  CVE-2020-16898-Bad-Neighbor/scripts

Note dettagliate:

Avvisi e descrizioni dettagliate: I seguenti avvisi sono generati dallo script:

---

Le euristiche sono semplici:

Come da: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/

(i) cercando pacchetti con un campo Type ICMPv6 di 134 che indica Router Advertisements (ii) un campo Option ICMPv6 di 25 che indica Recursive DNS Server (RDNSS). (iii) Se questa opzione RDNSS ha anche un campo length con valore pari, l'euristica scarterebbe o segnalerebbe il pacchetto associato, poiché probabilmente fa parte di un tentativo di exploit Bad Neighbor.

Esempio di notifica: ICMP::BadNeighbor

---

Esempio di riepilogo della notifica:

---