Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 80 replies
  • Subscribers 2 subscribers
  • Views 391276 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

UPDATE - IPS Pattern Update fixed

dschmidl
Hi Everyone,

We have tested that the new IPS patterns on the Up2Date server are fixed and working.

If your system is affected there are two ways to get the updated and fixed patterns:

1) WebAdmin (the preferred way)

- login to WebAdmin via https://YOUR_ASG_IP:4444
- go to left menu item “Network Security”
- go to sub menu item “Intrusion Prevention”
- disable the IPS system (if not already done)
- go to the last tab “Advanced”
- click on the green “+” sign under “Modified rules”
- enter under “Rule ID”: 15851 and check “Disable this rule”
- click “Save”
- click again on the green “+” sign under “Modified rules”
- enter under “Rule ID”: 16576 and check “Disable this rule”
- click “Save”
-     go back to the first tab and activate the IPS system again

This will fix the problem and install the new IPS pattern. 

PLEASE NOTE: Depending on the speed and workload of your ASG it can take a minute!

 
2. Command line (only for experienced users)
-     login via SSH or local on console
-     become "root"
-     enter "echo 1 > /proc/net/nf_condition/ips"

That's all and will do the following: 

*     it will bypass completely the IPS system on lowest level (ASG is online then), independent if IPS is activated or deactivated on WebAdmin

*     the new IPS pattern will be fetched and installed

*     the next IPS pattern update we will provide later today will remove this bypass automatically and the ASG works like configured (with new pattern)


If your ASG uses ACC as an Up2Date cache: do the same above for these ASGs if there are affected. There is no todo on ACC.


If your ASG is not and was not affected, because IPS was turned off last 8 hours or not online and therefore didn't fetched the corrupt pattern then there is no action needed. The old, corrupt patterns are removed from the Up2Date server. It is safe the activate IPS now and set the ASG online again to fetch IPS pattern.


We are very sorry for this inconvenience.

Best regards,

Dominic Schmidl


This thread was automatically locked due to age.
Parents
  • 0
    Is there a way to check if my IPS patterns are up2date now and if it is safe to remove the bypass rules?

    I know i have pattern 12410 installed (dashboard says so) but that was when I had the IPS turned off and everywhere I read about this it says that it will not be updated if turned off.

    Now that I turned it back on with the exception rules I don't know when I can remove them again.
  • 0 in reply to Krycek
    Is there a way to check if my IPS patterns are up2date now and if it is safe to remove the bypass rules?

    I know i have pattern 12410 installed (dashboard says so) but that was when I had the IPS turned off and everywhere I read about this it says that it will not be updated if turned off.

    Now that I turned it back on with the exception rules I don't know when I can remove them again.


    I'm in the same boat here. I disabled IPS this morning after I figured out what was going on, but now I'm on pattern version 12410. Can someone confirm at what pattern version everything is actually working correctly? Did I get IPS pattern updates with IPS disabled...? I have all my customers' IPS disabled at the moment and I don't want to deal with installing more bad updates today; they are already understandably PO'd (as am I).
  • 0 in reply to JeffN1234
    I would like to get a little bit of clarification.  Once 12410 has been detected, downloaded, and installed, can the IPS rule modifications to disable 15851 and 16576 be removed safely?
     
    Thanks.
  • 0 in reply to Scott_Klassen
    I would like to get a little bit of clarification.  Once 12410 has been detected, downloaded, and installed, can the IPS rule modifications to disable 15851 and 16576 be removed safely?
     
    Thanks.



    Scott, I would not remove those rule modifications; I'm sure that they removed the rules from the latest ruleset, but as insurance against some future event, if, somehow, someway, they accidentally add those rules back in, I'd leave them in place.
  • 0 in reply to BrucekConvergent
    Astaro needs to develop a common communications format for times such as this.

    The latest blog post (Letter from the CEO) is better, but I don't need apologies right now.  I need definitive, factual information and procedures I can use to fix this without having to guess or make assumptions.

    Example: http://security.freebsd.org/advisories/FreeBSD-SA-10:01.bind.asc
  • 0 in reply to CJL
    For Astaro: I am interested in getting more information on the cause of the problem. Was it a question of inadequate testing before deploying a specific IPS pattern update? Is there an ongoing issue with the AV scan engine?
Reply
  • 0 in reply to CJL
    For Astaro: I am interested in getting more information on the cause of the problem. Was it a question of inadequate testing before deploying a specific IPS pattern update? Is there an ongoing issue with the AV scan engine?
Children
No Data