Каков наихудший случай, когда порт epmd открыт? - PullRequest
13 голосов
/ 12 июля 2011

При использовании программ Erlang, таких как ejabberd , запускается Erlang Port Mapper Daemon epmd и открывается порт 4369.

Этот порт доступен через Интернет (только самые последние версии ejabberd позволяют настроить привязку epmd к localhost) по умолчанию.

Документация ejabberd рекомендует блокировать этот порт с помощью правил фильтрации пакетов , а комментарий в трекере ошибок Debian называет это поведение по умолчанию «кошмаром с точки зрения безопасности».

Каков наихудший сценарий, когда ejabberd работает, а порт 4369 не заблокирован?

Скажем, межсетевой экран неправильно настроен или что-то в этом роде.

Что могло бы быть самым злым, что беглый Эрланг атакующий мог сделать через этот порт?

Под каким пользователем / привилегиями запускается epmd в дистрибутиве Linux (например, Debian / Ubuntu)?

Ответы [ 2 ]

6 голосов
/ 13 июля 2011

Отличный вопрос.

Помимо порта 4369, вы также должны принять во внимание порты, которые он предложит для фактической связи между узлами (5001-6024 по умолчанию).Как и все tcp-сервисы, он будет уязвим для злодеев, так как программное обеспечение никогда не освобождает от ошибок, поэтому его можно взломать.Подумайте SSH и его уязвимости переполнения буфера.Поскольку «epmd» не предоставляет большого количества услуг, связь между междоузлиями аутентифицируется с помощью безопасного кода cookie и относительной старости Erlang, и вы ожидаете, что в этой области будет не так много ошибок.Но одна только хорошая родословная не имеет значения в области безопасности.; -)

Как вы писали, вам нужен правильно настроенный брандмауэр, чтобы сервер не подвергался такому воздействию.В процессе обслуживания необходимо убедиться, что надлежащее функционирование брандмауэра тщательно проверено.

О, и я запускаю свой узел Erlang как пользователь без полномочий root с ограниченными правами доступа к файлам.

2 голосов
/ 16 июля 2011

Вы можете узнать адреса источника / назначения и пары номеров портов активных соединений между BEAM. Это может привести к DoS-атакам на соединения между BEAM.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...