Суть уязвимости

Уязвимость в скрипте masterCGI инструмента Unified Maintenance Tool (UMT) позволяет удаленному злоумышленнику выполнить произвольные команды на сервере коммуникаций Alcatel OmniPCX Enterprise. Атакующий может отправить специально сформированный HTTP-запрос к веб-интерфейсу UMT, содержащий вредоносные команды, которые будут исполнены с привилегиями процесса веб-сервера.

Как исправить

Установите официальный патч от Alcatel-Lucent Enterprise (ALE). Для OmniPCX Enterprise требуется обновление до версии, в которой устранена данная уязвимость.

1. Определите текущую версию ПО: bash # Войдите в инженерный режим (через telnet/ssh) и выполните: version

2. Установите патч: Обратитесь к официальному бюллетеню безопасности ALE (Security Bulletin) для CVE-2007-3010. Необходимо применить исправление для вашей конкретной версии Rxx. Например, для ветки R7.x:

   • Обновитесь до версии R7.1-h2.301-5-corr или более поздней.
   • Для других веток (R8.x, R9.x) требуются соответствующие патчи, указанные в бюллетене.

   Источник: Загрузите патч с официального портала поддержки ALE (https://enterprise.al-enterprise.com/support). Для установки следуйте инструкциям из файла readme.txt патча, обычно через инженерное меню или утилиту swinst.

Временное решение

Если немедленная установка патча невозможна, выполните следующие действия:

1. Ограничьте доступ к веб-интерфейсу UMT:

   • Настройте сетевой ACL (Access Control List) на маршрутизаторе или фаерволле, чтобы разрешить доступ к IP-адресу OmniPCX только с доверенных адресов администраторов (например, с конкретной подсети управления). ```bash

   Пример правила iptables для Linux-шлюза (разрешить только с 10.0.1.0/24)

   iptables -A FORWARD -p tcp --dport 80 -d <IP_Вашего_OmniPCX> -s 10.0.1.0/24 -j ACCEPT iptables -A FORWARD -p tcp --dport 443 -d <IP_Вашего_OmniPCX> -s 10.0.1.0/24 -j ACCEPT iptables -A FORWARD -p tcp --dport 80 -d <IP_Вашего_OmniPCX> -j DROP iptables -A FORWARD -p tcp --dport 443 -d <IP_Вашего_OmniPCX> -j DROP ```

2. Отключите веб-интерфейс UMT, если он не используется:

   • В инженерном режиме найдите и остановите соответствующий демон/сервис (например, httpd или umt). Конкретная команда зависит от версии ПО. Проверьте процессы: bash sysview
   • Удалите или переименуйте уязвимый CGI-скрипт (например, masterCGI), предварительно создав резервную копию. Расположение обычно в директории веб-сервера, например, /usr/www/cgi-bin/.

3. Настройте WAF (Web Application Firewall):

   • Разверните WAF (например, ModSecurity) перед сервером OmniPCX и настройте правило для блокировки запросов, содержащих подозрительные параметры или шаблоны, эксплуатирующие инъекцию команд, в пути к masterCGI.