Атака на някои протоколи, базирани на UDP, която води до зацикляне на обмена на пакети.

Координационният център CERT (компютърна група за реагиране при извънредни ситуации) публикува предупреждение за серия уязвимости в реализации на различни приложни протоколи, използващи UDP за транспорт. Уязвимостите могат да се използват за създаване на отказ в обслужването поради потенциално зацикляне на обмена на пакети между два хоста. Например, атакуващите могат да предизвикат изчерпване на наличната мрежова пропускливост, блокиране на работата на мрежовите услуги (например чрез създаване на високи натоварвания и превишаване на ограничението на интензивността на заявките) и реализиране на усилватели на трафика за DDoS атаки.

От протоколите, някои реализации на които са подложени на уязвимости, се споменават DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) и QOTD (RFC865). Наличието на уязвимост (CVE-2024-2169) е потвърдено при отделни продукти на компаниите Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) и MikroTik. Като мерки за избягване на уязвимостите се препоръчва да се активира блокиране на спуфинг (uRPF) на междусетевия екран, да се ограничи достъпът до ненужни UDP услуги и да се настрои ограничение на интензивността на трафика (rate-limit и QoS).

Уязвимостите са обусловени от незащитеността на протокола UDP срещу спуфинг на адреси — при липса на защита от спуфинг на транзитните маршрутизатори, атакуващият може да зададе IP адрес на произволен сървър в UDP пакета и да изпрати този пакет на друг сървър, който ще върне отговор на зададения подправен адрес. Методът на атаката се свежда до създаване на ситуация на зацикляне на обмена на пакети между сървъри, които използват уязвими реализации на протокола. Например, в отговор на получен пакет, целевият сървър може да изпрати отговор с код на грешка, а сървърът, чийто адрес е зададен от атакуващия, ще върне свой отговор, който отново ще доведе до получаване на пакет с код на грешка. По този начин, сървъри до безкрай ще започнат да си играят помежду си с пакети в „пинг-понг.

Забележително е, че подобен метод на атака не е нов и в сървър Синхронизацията на времето ntpd е вариант на атака, който беше отстранен още през 2009 година (CVE-2009-3563) в версиите 4.2.4p8 и 4.2.5. Атаката се състоеше в изпращането на NTP-пакет с фалшив адрес и зададен флаг MODE_PRIVATE, при обработката на който целевият сървър връщал отговор за невъзможността да използва частен режим, оставяйки флага MODE_PRIVATE зададен. Следователно, другият сървър също не можел да обработи този флаг и връщал собствен отговор, което водело до зацикляне на обмена на пакети между двата NTP-сървъра. За протокола DNS предупреждението за възможността да се извърши подобна атака е публикувано още през 1996 година.

Глобално сканиране на адреси в интернет показа, че в момента в мрежата присъстват поне 23 хиляди уязвими TFTP-сървъра, 63 хиляди DNS-сървъра, 89 хиляди NTP-сървъра, 56 хиляди услуги Echo/RFC862, 22 хиляди услуги Chargen/RFC864 и 21 хиляда услуги QOTD/RFC865. Предполага се, че при NTP-сървърите наличието на непоправена уязвимост е свързано с използването на много стари версии ntpd, издадени преди 2010 година. Услугите Echo, Chargen и QOTD са уязвими по предназначение заради своята архитектура. Ситуацията с TFTP и DNS сървърите изисква разглеждане с техните администратори. Сървърите atftpd и tftpd не са уязвими на проблема, тъй като използват случайно число за изходящия мрежов порт при изпращане на отговора. От уязвимите DNS-сървъри се споменава dproxy-nexgen. В продуктите на Microsoft проблемът се проявява в WDS (Windows Deployment Services), а в продуктите на Cisco проблемът присъства в маршрутизаторите от серии 2800 и 2970.

Източник: opennet.ru