漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-074369
漏洞标题：帕拉迪/华为/江南天安堡垒机伪造WEB登录来源IP漏洞
相关厂商：pldsec.com
漏洞作者： 王小贝
提交时间：2014-08-29 18:24
修复时间：2014-11-27 18:26
公开时间：2014-11-27 18:26
漏洞类型：设计不当
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-29： 细节已通知厂商并且等待厂商处理中
2014-09-01： 厂商已经确认，细节仅向厂商公开
2014-09-04： 细节向第三方安全合作伙伴开放
2014-10-26： 细节向核心白帽子及相关领域专家公开
2014-11-05： 细节向普通白帽子公开
2014-11-15： 细节向实习白帽子公开
2014-11-27： 细节向公众公开
简要描述：
帕拉迪堡垒机产品设计上存在安全漏洞，可以伪造用户登录的来源IP日志记录。因为华为和江南天安OEM了帕拉迪的堡垒机，所以也存在同样的漏洞。
详细说明：
1.小弟要主动承认错误，经过跟原厂的沟通，其中 WooYun: 帕拉迪/华为/江南天安堡垒机高危漏洞泄露用户服务器密码 的漏洞不影响华为和江南天安的OEM/ODM版本，给躺枪的大佬们道歉。
2.其中 WooYun: 帕拉迪/华为/江南天安堡垒机高危漏洞获取所有用户密码 原厂答复“这个漏洞比较老了，早就已经出过升级包了”，这点小弟不认同，因为今天代理商给我发来了针对这个漏洞的升级包upgrade_utm_ssh_tunnel_close_201408121745.tar.gz，根据文件名是8.12号出的升级包，因为小弟自己就是帕拉迪堡垒机的最终用户，报漏洞一方面是为了赚乌云RANK（虚荣心），更多地是希望原厂能够改进产品，毕竟还有很多用户在用呢。
3.跟代理商要了一台帕拉迪最新版本的测试机，所以这次报的漏洞再不会让华为和江南天安躺枪了。
漏洞说明：帕拉迪堡垒机用户通过WEB登录时，登录成功后会在【登录日志】留下登录日志，处理客户端IP的PHP代码存在经典的X-Forwarded-For漏洞，导致可以伪造来源IP，最后记录在日志中的来源IP可以是任意IP或字符串。没什么大危害，只是对审计而言，堡垒机的记录就不可信了。
漏洞证明：
经典的X-Forwarded-For，我用的是CLIENT_IP: 8.8.8.8，以下截图可证明正常登录时真实地记录了我的电脑IP 10.100.102.20，通过BS注入HTTP头部CLIENT_IP: 8.8.8.8后登录，日志里记录的是GOOGLE公司8.8.8.8的IP地址：
修复方案：
大家都懂的
版权声明：转载请注明来源 王小贝@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2014-09-01 18:29
厂商回复：
在拥有用户权限前提下可以伪造登录源IP。
从伪造源IP角度来看危害小于挂代理登录，仅影响堡垒机登陆日志。相关补丁部分已放在下一次升级包计划中。
最新状态：
暂无