info
Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
LAN vulnerability scanner
1 view
Skip to first unread message
Piviul
Sep 20, 2021, 6:00:03 AM9/20/21
to
Ciao a tutti, un consulente ha lanciato nessus[¹] della tenable, un tool
leader secondo loro per verificare le falle di sicurezza presenti in una
LAN, sulla nostra rete locale e fra le altre cose ha segnalato che su un
server con debian buster aggiornato ha ritrovato le seguenti falle di
sicurezza:
Severity CVSS v3.0 Plugin Name
High 5.0 138098 Apache Tomcat 9.0.0.M1 < 9.0.36 DoS
High 5.0 138591 Apache Tomcat 9.0.0.M1 < 9.0.37
Multiple Vulnerabilities
High 5.0 147164 Apache Tomcat 9.0.0.M1 < 9.0.43
Multiple Vulnerabilities
High 5.0 144050 Apache Tomcat 9.x < 9.0.40
Information Disclosure
High 4.4 136806 Apache Tomcat 9.0.0 < 9.0.35 Remote
Code Execution
Medium 6.1 104743 TLS Version 1.0 Protocol Detection
Medium 5.0 152182 Apache Tomcat 9.0.0.M1 < 9.0.48
vulnerability
Medium 5.0 12085 Apache Tomcat Default Files
Medium 4.0 141446 Apache Tomcat 8.5.x < 8.5.58 /
9.0.x < 9.0.38 HTTP/2 Request Mix-Up
in effetti ho verificato e la versione in buster di Tomcat è 9.0.31 che
è minore della 9.0.36; poi sono andato a vedere i codici dei plugin di
riferimento sul sito della tenable e ho trovato i seguenti:
https://www.tenable.com/plugins/nessus/138098
https://www.tenable.com/plugins/nessus/138591
https://www.tenable.com/plugins/nessus/147164
https://www.tenable.com/plugins/nessus/144050
https://www.tenable.com/plugins/nessus/136806
A questo punto sono andato a vedere cosa diceva debian sui CVE relativi:
https://security-tracker.debian.org/tracker/CVE-2020-11996
https://security-tracker.debian.org/tracker/CVE-2020-13935
https://security-tracker.debian.org/tracker/CVE-2021-25122
https://security-tracker.debian.org/tracker/CVE-2020-17527
https://security-tracker.debian.org/tracker/CVE-2020-9484
e in tutti i casi dice che il problema è stato risolto. A questo punto
credo che il problema sia nel plugin nessus...
Ve l'ho fatta forse troppo lunga e finalmente vengo al dunque: siccome
ho altri dubbi sul loro scanner esiste uno scanner libero che rilevi i
problemi di sicurezza dei devices in una LAN?
[¹] https://www.tenable.com/products/nessus/nessus-professional
leader secondo loro per verificare le falle di sicurezza presenti in una
LAN, sulla nostra rete locale e fra le altre cose ha segnalato che su un
server con debian buster aggiornato ha ritrovato le seguenti falle di
sicurezza:
Severity CVSS v3.0 Plugin Name
High 5.0 138098 Apache Tomcat 9.0.0.M1 < 9.0.36 DoS
High 5.0 138591 Apache Tomcat 9.0.0.M1 < 9.0.37
Multiple Vulnerabilities
High 5.0 147164 Apache Tomcat 9.0.0.M1 < 9.0.43
Multiple Vulnerabilities
High 5.0 144050 Apache Tomcat 9.x < 9.0.40
Information Disclosure
High 4.4 136806 Apache Tomcat 9.0.0 < 9.0.35 Remote
Code Execution
Medium 6.1 104743 TLS Version 1.0 Protocol Detection
Medium 5.0 152182 Apache Tomcat 9.0.0.M1 < 9.0.48
vulnerability
Medium 5.0 12085 Apache Tomcat Default Files
Medium 4.0 141446 Apache Tomcat 8.5.x < 8.5.58 /
9.0.x < 9.0.38 HTTP/2 Request Mix-Up
in effetti ho verificato e la versione in buster di Tomcat è 9.0.31 che
è minore della 9.0.36; poi sono andato a vedere i codici dei plugin di
riferimento sul sito della tenable e ho trovato i seguenti:
https://www.tenable.com/plugins/nessus/138098
https://www.tenable.com/plugins/nessus/138591
https://www.tenable.com/plugins/nessus/147164
https://www.tenable.com/plugins/nessus/144050
https://www.tenable.com/plugins/nessus/136806
A questo punto sono andato a vedere cosa diceva debian sui CVE relativi:
https://security-tracker.debian.org/tracker/CVE-2020-11996
https://security-tracker.debian.org/tracker/CVE-2020-13935
https://security-tracker.debian.org/tracker/CVE-2021-25122
https://security-tracker.debian.org/tracker/CVE-2020-17527
https://security-tracker.debian.org/tracker/CVE-2020-9484
e in tutti i casi dice che il problema è stato risolto. A questo punto
credo che il problema sia nel plugin nessus...
Ve l'ho fatta forse troppo lunga e finalmente vengo al dunque: siccome
ho altri dubbi sul loro scanner esiste uno scanner libero che rilevi i
problemi di sicurezza dei devices in una LAN?
[¹] https://www.tenable.com/products/nessus/nessus-professional
Felipe Salvador
Sep 20, 2021, 7:10:03 AM9/20/21
to
On Mon, Sep 20, 2021 at 11:55:50AM +0200, Piviul wrote:
> Ciao a tutti, un consulente ha lanciato nessus[¹] della tenable, un
> tool leader secondo loro per verificare le falle di sicurezza presenti
> in una LAN, sulla nostra rete locale e fra le altre cose ha segnalato
> che su un server con debian buster aggiornato ha ritrovato le seguenti
> falle di sicurezza:
>
> Severity CVSS v3.0 Plugin Name
>
> High 5.0 138098 Apache Tomcat 9.0.0.M1 < 9.0.36 DoS
> High 5.0 138591 Apache Tomcat 9.0.0.M1 < 9.0.37
> Multiple Vulnerabilities
> High 5.0 147164 Apache Tomcat 9.0.0.M1 < 9.0.43
> Multiple Vulnerabilities
> High 5.0 144050 Apache Tomcat 9.x < 9.0.40
> Information Disclosure
> High 4.4 136806 Apache Tomcat 9.0.0 < 9.0.35
> Remote Code Execution
> Medium 6.1 104743 TLS Version 1.0 Protocol Detection
Almeno per quanto riguarda TLS, questa è una impostazione di Apache.
> Ciao a tutti, un consulente ha lanciato nessus[¹] della tenable, un
> tool leader secondo loro per verificare le falle di sicurezza presenti
> in una LAN, sulla nostra rete locale e fra le altre cose ha segnalato
> che su un server con debian buster aggiornato ha ritrovato le seguenti
> falle di sicurezza:
>
> Severity CVSS v3.0 Plugin Name
>
> High 5.0 138098 Apache Tomcat 9.0.0.M1 < 9.0.36 DoS
> High 5.0 138591 Apache Tomcat 9.0.0.M1 < 9.0.37
> Multiple Vulnerabilities
> High 5.0 147164 Apache Tomcat 9.0.0.M1 < 9.0.43
> Multiple Vulnerabilities
> High 5.0 144050 Apache Tomcat 9.x < 9.0.40
> Information Disclosure
> High 4.4 136806 Apache Tomcat 9.0.0 < 9.0.35
> Remote Code Execution
> Medium 6.1 104743 TLS Version 1.0 Protocol Detection
https://tecadmin.net/enable-tls-in-modssl-and-apache/
--
Felipe Salvador
Lorenzo Breda
Sep 20, 2021, 7:10:03 AM9/20/21
to
Il giorno lun 20 set 2021 alle ore 11:55 Piviul <piv...@riminilug.it> ha scritto:
Ve l'ho fatta forse troppo lunga e finalmente vengo al dunque: siccome
ho altri dubbi sul loro scanner esiste uno scanner libero che rilevi i
problemi di sicurezza dei devices in una LAN?
[¹] https://www.tenable.com/products/nessus/nessus-professional
Nessus era Open Source. Un suo diffuso fork mantenuto aggiornato è OpenVAS <https://www.openvas.org/>
--
Lorenzo Breda
Piviul
Sep 20, 2021, 10:20:02 AM9/20/21
to
Il 20/09/21 12:59, Lorenzo Breda ha
scritto:
ho dato un'occhiata e non ci ho capito un gran che... la community version è la trial version? Esistono solo le immagini per virtualbox e vmware? qualcuno in internet parla di una live iso ma credo non la facciano più... :(
Grazie!
Piviul
Giuliano Grandin
Sep 20, 2021, 10:20:03 AM9/20/21
to
Il Lun 20 Set 2021, 16:10 Piviul <piv...@riminilug.it> ha scritto:
Il giorno lun 20 set 2021 alle ore 11:55 Piviul <pivi
Nessus era Open Source. Un suo diffuso fork mantenuto aggiornato è OpenVAS <https://www.openvas.org/>
ho dato un'occhiata e non ci ho capito un gran che... la community version è la trial version? Esistono solo le immagini per virtualbox e vmware? qualcuno in internet parla di una live iso ma credo non la facciano più... :(
Piviul
Sep 20, 2021, 11:20:03 AM9/20/21
to
Il 20/09/21 16:18, Giuliano Grandin ha
scritto:
grazie Giuliano... il fatto è che sia gvm che openvas in testing non sono nei repositories standard e in stable dipendono da librerie più recenti di quelle presenti... tu sei riuscito ad installarlo e a farlo funzionare?
Grazie
Piviul
Davide Prina
Sep 20, 2021, 3:20:03 PM9/20/21
to
On 20/09/21 17:02, Piviul wrote:
>
> Il 20/09/21 16:18, Giuliano Grandin ha scritto:
>> https://packages.debian.org/sid/gvm <https://packages.debian.org/sid/gvm>
>
> Il 20/09/21 16:18, Giuliano Grandin ha scritto:
>
> grazie Giuliano... il fatto è che sia gvm che openvas in testing non
> sono nei repositories standard e in stable dipendono da librerie più
> recenti di quelle presenti... tu sei riuscito ad installarlo e a farlo
> funzionare?
lo hanno tolto da testing prima che diventasse stable per la politica
> grazie Giuliano... il fatto è che sia gvm che openvas in testing non
> sono nei repositories standard e in stable dipendono da librerie più
> recenti di quelle presenti... tu sei riuscito ad installarlo e a farlo
> funzionare?
usata negli aggiornamenti upstream che lo rende non distribuibile in una
Debian stable
vedi:
$ querybts 986531
Ciao
Davide
--
Browser: http://www.mozilla.org/products/firefox
GNU/Linux User: 302090: http://counter.li.org
Non autorizzo la memorizzazione del mio indirizzo su outlook
Davide Prina
Sep 20, 2021, 3:40:02 PM9/20/21
to
On 20/09/21 11:55, Piviul wrote:
> esiste uno scanner libero che rilevi i
> problemi di sicurezza dei devices in una LAN?
per lan non so, ma se sei su una macchina Debian puoi usare debsecan
> esiste uno scanner libero che rilevi i
> problemi di sicurezza dei devices in una LAN?
Volendo, se tutte le macchine sono Debian puoi fare uno script che lo
esegue su ognuna e poi ti manda i risultati.
È uno strumento "statico" che ti mostra le vulnerabilità riscontrate nei
pacchetti installati e non eventuali configurazioni/abilitazioni
personalizzate che possono aver tolto o introdotto delle vulnerabilità.
Tieni conto che poi la vulnerabilità si "manifesta", di solito, solo in
determinati usi/casi che possono non riguardarti.
In altri casi può essere che il pacchetto non abbia vulnerabilità, ma è
il modo in cui lo hai configurato/esposto/... che determina una
vulnerabilità non intrinseca nel pacchetto.
Inoltre c'è da tenere in conto una cosa interessante: le segnalazioni di
vulnerabilità, che poi creano i CVE, sono create da terze parti rispetto
agli sviluppatori upstream. Questo fa si, in alcuni casi, che una
vulnerabilità, ritenuta tale da tali terzi, sia ritenuta non valida a
livello upstream e quindi non venga mai "sanata".
Ciao
Davide
--
Dizionari: http://linguistico.sourceforge.net/wiki
$
Perché microsoft continua a compiere azioni illegali?:
http://linguistico.sf.net/wiki/doku.php?id=traduzioni:ms_illegal
Giuliano Grandin
Sep 20, 2021, 4:20:02 PM9/20/21
to
....
grazie Giuliano... il fatto è che sia gvm che openvas in testing non sono nei repositories standard e in stable dipendono da librerie più recenti di quelle presenti... tu sei riuscito ad installarlo e a farlo funzionare?
No, non ho ancora fatto niente, non ha una priorità molto alta, anche se c'è ...
Giuliano
Piviul
Sep 22, 2021, 3:10:04 AM9/22/21
to
Il 20/09/21 21:30, Davide Prina ha scritto:
Piviul
> On 20/09/21 11:55, Piviul wrote:
>> esiste uno scanner libero che rilevi i problemi di sicurezza dei
>> devices in una LAN?
>
> per lan non so, ma se sei su una macchina Debian puoi usare debsecan
>
> Volendo, se tutte le macchine sono Debian puoi fare uno script che lo
> esegue su ognuna e poi ti manda i risultati.
>
> È uno strumento "statico" che ti mostra le vulnerabilità riscontrate
> nei pacchetti installati e non eventuali configurazioni/abilitazioni
> personalizzate che possono aver tolto o introdotto delle vulnerabilità.
> Tieni conto che poi la vulnerabilità si "manifesta", di solito, solo
> in determinati usi/casi che possono non riguardarti.
> In altri casi può essere che il pacchetto non abbia vulnerabilità, ma
> è il modo in cui lo hai configurato/esposto/... che determina una
> vulnerabilità non intrinseca nel pacchetto.
>
> Inoltre c'è da tenere in conto una cosa interessante: le segnalazioni
> di vulnerabilità, che poi creano i CVE, sono create da terze parti
> rispetto agli sviluppatori upstream. Questo fa si, in alcuni casi, che
> una vulnerabilità, ritenuta tale da tali terzi, sia ritenuta non
> valida a livello upstream e quindi non venga mai "sanata".
Grazie Davide, considerazioni interessanti...
>> esiste uno scanner libero che rilevi i problemi di sicurezza dei
>> devices in una LAN?
>
> per lan non so, ma se sei su una macchina Debian puoi usare debsecan
>
> Volendo, se tutte le macchine sono Debian puoi fare uno script che lo
> esegue su ognuna e poi ti manda i risultati.
>
> È uno strumento "statico" che ti mostra le vulnerabilità riscontrate
> nei pacchetti installati e non eventuali configurazioni/abilitazioni
> personalizzate che possono aver tolto o introdotto delle vulnerabilità.
> Tieni conto che poi la vulnerabilità si "manifesta", di solito, solo
> in determinati usi/casi che possono non riguardarti.
> In altri casi può essere che il pacchetto non abbia vulnerabilità, ma
> è il modo in cui lo hai configurato/esposto/... che determina una
> vulnerabilità non intrinseca nel pacchetto.
>
> Inoltre c'è da tenere in conto una cosa interessante: le segnalazioni
> di vulnerabilità, che poi creano i CVE, sono create da terze parti
> rispetto agli sviluppatori upstream. Questo fa si, in alcuni casi, che
> una vulnerabilità, ritenuta tale da tali terzi, sia ritenuta non
> valida a livello upstream e quindi non venga mai "sanata".
Piviul
Piviul
Sep 22, 2021, 3:10:04 AM9/22/21
to
Il 20/09/21 21:17, Davide Prina ha scritto:
utilizzarlo... l'unica speranza forse sarebbe prenderlo da sid.
Grazie ancora
Piviul
> lo hanno tolto da testing prima che diventasse stable per la politica
> usata negli aggiornamenti upstream che lo rende non distribuibile in
> una Debian stable
>
> vedi:
> $ querybts 986531
grazie Davide, quindi da quel che si legge non si ha proprio speranze di
> usata negli aggiornamenti upstream che lo rende non distribuibile in
> una Debian stable
>
> vedi:
> $ querybts 986531
utilizzarlo... l'unica speranza forse sarebbe prenderlo da sid.
Grazie ancora
Piviul
Davide Prina
Sep 22, 2021, 4:00:02 PM9/22/21
to
On 22/09/21 08:40, Piviul wrote:
> Il 20/09/21 21:17, Davide Prina ha scritto:
>> lo hanno tolto da testing prima che diventasse stable per la politica
>> usata negli aggiornamenti upstream che lo rende non distribuibile in
>> una Debian stable
>>
>> vedi:
>> $ querybts 986531
>
> grazie Davide, quindi da quel che si legge non si ha proprio speranze di
> utilizzarlo...
potrebbe essere che lo facciano arrivare in testing e poi se il problema
> Il 20/09/21 21:17, Davide Prina ha scritto:
>> lo hanno tolto da testing prima che diventasse stable per la politica
>> usata negli aggiornamenti upstream che lo rende non distribuibile in
>> una Debian stable
>>
>> vedi:
>> $ querybts 986531
>
> grazie Davide, quindi da quel che si legge non si ha proprio speranze di
> utilizzarlo...
persiste lo ritoglieranno quando l'attuale testing si prepara a
diventare la prossima stable
> l'unica speranza forse sarebbe prenderlo da sid.
e poi fai il pinning in /etc/apt/preferences in modo che di default
prende sempre tutti i pacchetti da testing, mentre da unstable li prende
solo se durante l'installazione lo indichi esplicitamente
qualcosa del genere:
Package: *
Pin: release a=testing
Pin-Priority: 990
Package: *
Pin: release a=unstable
Pin-Priority: 400
Ciao
Davide
--
Esci dall'illegalità: utilizza LibreOffice/OpenOffice:
http://linguistico.sf.net/wiki/doku.php?id=usaooo
0 new messages