RangeAmp – поредица от CDN атаки, които манипулират Range HTTP хедъра

Екип от изследователи от Пекинския университет, Университета Цинхуа и Тексаския университет в Далас разкри нов клас DoS атаки - RangeAmp, базиран на използването на HTTP хедър Обхват да организира усилване на трафика чрез мрежи за доставка на съдържание (CDN). Същността на метода е, че поради начина, по който заглавките на диапазона се обработват в много CDN, нападателят може да поиска един байт от голям файл през CDN, но CDN ще изтегли целия файл или много по-голям блок от данни от целевият сървър да бъде поставен в кеша. Степента на усилване на трафика по време на такава атака, в зависимост от CDN, варира от 724 до 43330 пъти, което може да се използва за претоварване на CDN с входящ трафик или намаляване на капацитета на крайния комуникационен канал към сайта на жертвата.

Заглавката Range дава възможност на клиента да посочи диапазон от позиции във файла, който трябва да бъде изтеглен, вместо да връща целия файл. Например, клиентът може да посочи "Диапазон: байтове=0-1023" и сървърът ще предаде само първите 1024 байта данни. Тази функция е търсена при изтегляне на големи файлове - потребителят може да спре изтеглянето на пауза и след това да продължи от прекъснатата позиция. При посочване на “bytes=0-0”, стандартът инструктира да се даде първият байт във файла, “bytes=-1” - последният, “bytes=1-” - започвайки от 1 байт до края на файла. Възможно е да се предадат няколко диапазона в един хедър, например „Диапазон: байтове=0-1023,8192-10240“.

Освен това е предложена втора опция за атака, насочена към увеличаване на натоварването на мрежата при пренасочване на трафик през друга CDN, която се използва като прокси (например, когато Cloudflare действа като фронтенд (FCDN), а Akamai действа като бекенд ( BCDN). Методът е подобен на първата атака, но е локализиран в рамките на CDN мрежи и позволява увеличен трафик при достъп през други CDN, увеличавайки натоварването на инфраструктурата и намалявайки качеството на услугата.

Идеята е, че атакуващият изпраща заявки за диапазон от няколко диапазона към CDN, като например "bytes=0-,0-,0-...", "bytes=1-,0-,0-..." или "байтове=-1024,0 ,0-,0-...". Заявките съдържат голям брой диапазони „0-“, което означава, че файлът се връща от позиция нула до края. Поради неправилно прилагане на синтактичен анализ на диапазон, когато първият CDN има достъп до втория, се изпраща пълен файл за всеки диапазон „53-“ (диапазоните не се агрегират, а се повтарят последователно), ако има дублиране и пресичане на диапазони в заявката, първоначално изпратена от нападателя. Степента на усилване на трафика при такава атака варира от 7432 до XNUMX пъти.

По време на проучването е изследвано поведението на 13 CDN -
Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath и Tencent Cloud. Всички изследвани CDN позволяват първия тип атака на крайния сървър. Вторият вариант на CDN атаката засегна 6 услуги, от които четири можеха да действат като фронтенд в атаката (CDN77, CDNsun, Cloudflare и StackPath) и три като бекенд (Akamai, Azure и StackPath). Най-голямата печалба се постига в Akamai и StackPath, които позволяват повече от 10 хиляди диапазона да бъдат посочени в заглавката Range. Собствениците на CDN бяха уведомени за уязвимостите преди около 7 месеца и до момента на публичното оповестяване на информацията 12 от 13 CDN бяха коригирали идентифицираните проблеми или изразиха готовност да ги коригират (само услугата StackPath не отговори).

Източник: opennet.ru