Обнаружена проблема в Suricata 5.0.0. Можно обойти/уклониться от любой сигнатуры на основе tcp, перекрывая TCP-сегмент с поддельным пакетом…

Обнаружена проблема в Suricata 5.0.0. Можно обойти/уклониться от любой сигнатуры на основе tcp, перекрывая TCP-сегмент с поддельным пакетом FIN. Поддельный пакет FIN вставляется непосредственно перед пакетом PUSH ACK, который мы хотим обойти. Пакет PUSH ACK (содержащий данные) будет проигнорирован Suricata, потому что он перекрывает пакет FIN (номер последовательности и подтверждения идентичны в двух пакетах). Клиент проигнорирует поддельный пакет FIN, потому что флаг ACK не установлен. И клиенты Linux, и клиенты Windows игнорируют вставленный пакет.