最近在入侵偵測和防護工具 Suricata 的 stream-tcp 程式碼中發現兩個弱點。

CVE-2019-18625

透過使用惡意伺服器偽造已關閉的 TCP 工作階段，可繞過/規避任何 tcp 型簽章。在 TCP SYN 封包之後，可以透過錯誤的 TCP 時間戳記選項插入 RST ACK 和 FIN ACK 封包。用戶端會因為錯誤的 TCP 時間戳記選項而忽略 RST ACK 和 FIN ACK 封包。

CVE-2019-18792

可以透過將 TCP 區段與假 FIN 封包重疊來繞過/規避任何 tcp 型簽章。假 FIN 封包必須在我們要繞過的 PUSH ACK 封包之前插入。PUSH ACK 封包 (包含資料) 會被 Suricata 忽略，因為該封包會與 FIN 封包重疊 (兩個封包中的序列和 ack 編號相同)。由於不會設定 ACK 旗標，用戶端會忽略假的 FIN 封包。

針對 Debian 8「Jessie」，已在 2.0.7-2+deb8u5 版本中修正這些問題。

建議您升級 suricata 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Suricata 中發現一個問題 5.0.0。透過使用惡意伺服器偽造已關閉的 TCP 工作階段，可繞過/規避任何 tcp 型簽章。在 TCP SYN 封包之後可以插入具有錯誤 TCP 時間戳記選項的 RST ACK 和 FIN ACK 封包。因為 TCP 時間戳記選項錯誤用戶端會忽略 RST ACK 和 FIN ACK 封包。linux 和 windows 用戶端都忽略了插入的封包。 (CVE-2019-18625)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

最近在入侵检测和防御工具 Suricata 的 stream-tcp 代码中发现两个漏洞。

CVE-2019-18625

可以通过使用恶意服务器伪造已关闭的 TCP 会话来绕过/逃避任何基于 tcp 的签名。在 TCP SYN 数据包之后，可能通过错误的 TCP Timestamp 选项注入 RST ACK 和 FIN ACK 数据包。客户端可能因错误的 TCP 时间戳选项而忽略 RST ACK 和 FIN ACK 数据包。

CVE-2019-18792

可以通过将 TCP 段与假 FIN 数据包重叠来绕过/逃避任何基于 tcp 的签名。假 FIN 数据包必须在我们要绕过的 PUSH ACK 数据包之前注入。PUSH ACK 数据包（包含数据）会被 Suricata 忽略，因为该数据包会与 FIN 数据包重叠（两个数据包中的序列和 ack 编号相同）。客户端会忽略假 FIN 数据包，因为未设置 ACK 标记。

对于 Debian 8“Jessie”，已在版本 2.0.7-2+deb8u5 中修复这些问题。

我们建议您升级 suricata 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Suricata 中发现了一个问题 5.0.0。可以通过使用恶意服务器伪造已关闭的 TCP 会话来绕过/逃避任何基于 tcp 的签名。在 TCP SYN 数据包之后可注入含有错误 TCP 时间戳选项的 RST ACK 和 FIN ACK 数据包。客户端将忽略 RST ACK 和 FIN ACK 数据包因为错误的 TCP 时间戳选项。Linux 和 Windows 客户端都忽略注入的数据包。 (CVE-2019-18625)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

最近、侵入の検出および防止ツールSuricataのstream-tcpコードに、2つの脆弱性が発見されました。

CVE-2019-18625

悪意のあるサーバーを使用する閉じたTCPセッションを偽装することによって、tcpベースの署名をバイパス/回避することが可能になっていました。TCP SYNパケットの後、不適切なTCPタイムスタンプオプションを指定したRST ACKおよびFIN ACKパケットを注入することが可能になっていました。TCPタイムスタンプオプションが不適切であるため、クライアントはRST ACKおよびFIN ACKパケットを無視していました。

CVE-2019-18792

TCPセグメントを偽のFINFINパケットと重複させることにより、tcpベースの署名をバイパス/回避することが可能になっていました。回避するPUSH ACKパケットの直前に偽のFINパケットを注入する必要がありました。（データを含む）PUSH ACKパケットは、FINパケットとの重複のため（2つのパケットでシーケンスとACK番号が同一）、Suricataによって無視されていました。ACKフラグが設定されていないために、クライアントは偽のFINFINパケットを無視していました。

Debian 8「Jessie」では、これらの問題はバージョン2.0.7-2+deb8u5で修正されました。

お使いのsuricataパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Suricata 5.0.0で問題が見つかりました。悪意のあるサーバーを使用する閉じたTCPセッションを偽装することによって、tcpベースの署名をバイパス/回避することが可能になっていました。TCP SYNパケットの後で、不適切なTCPタイムスタンプオプションでRST ACKパケットとFIN ACKパケットを挿入する可能性があります。クライアントは、不適切な TCP タイムスタンプオプションにより、RST ACK および FIN ACK パケットを無視します。linux および Windows クライアントはどちらも、注入されたパケットを無視しています。CVE-2019-18625

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Two vulnerabilities have recently been discovered in the stream-tcp code of the intrusion detection and prevention tool Suricata.

CVE-2019-18625

It was possible to bypass/evade any tcp based signature by faking a closed TCP session using an evil server. After the TCP SYN packet, it was possible to inject a RST ACK and a FIN ACK packet with a bad TCP Timestamp option. The client would have ignored the RST ACK and the FIN ACK packets because of the bad TCP Timestamp option.

CVE-2019-18792

It was possible to bypass/evade any tcp based signature by overlapping a TCP segment with a fake FIN packet. The fake FIN packet had to be injected just before the PUSH ACK packet we wanted to bypass. The PUSH ACK packet (containing the data) would have been ignored by Suricata because it would have overlapped the FIN packet (the sequence and ack number are identical in the two packets). The client would have ignored the fake FIN packet because the ACK flag would not have been set.

For Debian 8 'Jessie', these problems have been fixed in version 2.0.7-2+deb8u5.

We recommend that you upgrade your suricata packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Suricata 5.0.0. It was possible to bypass/evade any tcp based signature by     faking a closed TCP session using an evil server. After the TCP SYN packet, it is possible to inject a RST     ACK and a FIN ACK packet with a bad TCP Timestamp option. The client will ignore the RST ACK and the FIN     ACK packets because of the bad TCP Timestamp option. Both linux and windows client are ignoring the     injected packets. (CVE-2019-18625)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
133363	Debian DLA-2087-1：suricata 安全性更新	Nessus	Debian Local Security Checks	1/31/2020	3/28/2024	critical
255650	Linux Distros 未修補的弱點：CVE-2019-18625	Nessus	Misc.	8/26/2025	9/2/2026	high
133363	Debian DLA-2087-1：suricata 安全更新	Nessus	Debian Local Security Checks	1/31/2020	3/28/2024	critical
255650	Linux Distros 未修补的漏洞：CVE-2019-18625	Nessus	Misc.	8/26/2025	9/2/2026	high
133363	Debian DLA-2087-1 : suricataセキュリティ更新プログラム	Nessus	Debian Local Security Checks	1/31/2020	3/28/2024	critical
255650	Linux Distros のパッチ未適用の脆弱性: CVE-2019-18625	Nessus	Misc.	8/26/2025	9/2/2026	high
133363	Debian DLA-2087-1 : suricata security update	Nessus	Debian Local Security Checks	1/31/2020	3/28/2024	critical
255650	Linux Distros Unpatched Vulnerability : CVE-2019-18625	Nessus	Misc.	8/26/2025	9/2/2026	high

Detections

Analytics

Plugins Search

critical

high

critical

high

critical

high

critical

high