Група, отговорна за сигурността на мрежата за доставка на съдържание Akamai, откри допълнителен вектор на атака на процеса cups-browsed, освен неговото използване като едно от звената в експлойт, който води до изпълнение на код в системата. Чрез изпращане на заявки към процеса cups-browsed, който приема съединения на порт 631 без ограничения, може да бъде постигнато изпращане на данни на друг хост, размерите на които надвишават първоначалната заявка до 600 пъти. За сравнение, коефициентът на усилване за memcached може да достигне 10-50 хиляди пъти, NTP - 556 пъти, DNS - 28-54, RIPv2 - 21, SNMPv2 - 6.
Тази характеристика позволява използването на системи с cups-browsed като усилвател на трафик при провеждане на DDoS атаки. Методът на атака с използване на усилвател на трафик е основан на това, че заявките от компютрите, участващи в DDoS атаките, се насочват не директно към жертвата, а през междинен усилвател на трафик. При сканирането на мрежата бяха открити над 198 хиляди уязвими системи с CUPS, от които 34% (58 хиляди системи) се оказаха пригодни за усилване на трафика в DDoS атака.
В противовес на методите за усилване на трафика, изискващи изпращане на UDP пакети с подправен обратен адрес на жертвата, използването на cups-browsed позволява да се избегне спуфинг. Услугата cups-browsed има вградена функция за зареждане на PPD файл от произволен сървър в отговор на неавторизиран външен заявка, при която клиентът предава URL, а cups-browsed се опитва да зареди PPD файл от указан сървър.
При изпращане на заявка за зареждане на PPD файл в cups-browsed може да бъде постигнато прикрепване на добавъчни данни към стойността "IPP URI", което може да достигне 989 байта. При това, в инициираната cups-browsed заявка стойността "IPP URI" се дублира - веднъж в HTTP заглавката и втори път в тялото на POST заявката, а заявките циклично се повтарят след неуспешни опити за зареждане и получаване сървър на код за грешка 404.
На 62% (35900) от проверените системи, cups-browsed е изпратил най-малко 10 TCP/IPP/HTTP заявки към атакуваната система в отговор на едно първоначално UDP запитване. Средно за 58000 системи с проблема, броят на повторните опити е 45. При оптимален сценарий, изпращането на едно 30-байтово първоначално запитване с 45 опита за презареждане ще доведе до изпращане на 18000 байта данни към целевата система, т.е. ще се наблюдава усилване на трафика от 600 пъти. В най-лошия сценарий усилването е 108 пъти.
Допълнително, може да се отбележи, че компанията Cloudflare е отблъснала рекорден DDoS нападение, при което на системата на жертвата е било насочено течение от 3.8 терабита в секунда (2.14 милиарда пакета в секунда). Отбелязва се, че нападението е организирано с помощта на голям брой компрометирани домашни рутери Asus и Mikrotik, както и DVR устройства и уеб сървъри, компрометирани сред другото с използването на сравнително нови уязвимости.
Източник: opennet.ru
