Skupina odpovědná za bezpečnost sítě dodávky obsahu Akamai identifikovala další vektor útoku na proces cups-browsed, kromě jeho využití jako jednoho z článků v exploitu vedoucím k vykonání kódu v systému. Odesíláním požadavků na proces cups-browsed, který bez omezení přijímá spojení na portu 631, lze dosáhnout odeslání dat na jiný host, jejichž velikost bude překračovat původní požadavek až 600krát. Pro srovnání, zesilovací poměr pro memcached může dosáhnout 10-50 tisíc krát, NTP — 556 krát, DNS — 28-54, RIPv2 — 21, SNMPv2 — 6.
Taková vlastnost umožňuje používat systémy s cups-browsed jako zesilovač provozu během provádění DDoS útoků. Metoda útoku za použití zesilovače provozu spočívá v tom, že požadavky z účastnících se DDoS útoků jsou směrovány nikoli přímo na systém oběti, ale přes mezilehlého zesilovače provozu. Během skenování sítě bylo zjištěno více než 198 tisíc zranitelných systémů s CUPS, z nichž 34 % (58 tisíc systémů) bylo vhodných pro zesílení provozu v DDoS útoku.
Na rozdíl od metod zesílení provozu, které vyžadují odesílání UDP paketů s podvrženou zpětnou adresou oběti, použití cups-browsed umožňuje obejít se bez spoofingu. Služba cups-browsed má vestavěnou možnost načíst PPD soubor z libovolného serveru v reakci na neautorizovaný externí požadavek, během něhož klient odesílá URL, a cups-browsed se pokouší načíst PPD soubor z určeného serveru.
Při odesílání požadavku na načtení PPD souboru do cups-browsed lze dosáhnout připojení k hodnotě "IPP URI" doplňkového vyplnění, které může dosahovat až 989 bajtů. Přičemž v iniciovaném cups-browsed volání je hodnota "IPP URI" duplikována — jednou v HTTP hlavičce a podruhé uvnitř těla POST požadavku, a požadavky se cyklicky opakují po neúspěšných pokusech o načtení a návratu serverem kódu chyby 404.
Na 62 % (35900) prověřených systémů odeslal cups-browsed alespoň 10 TCP/IPP/HTTP požadavků na napadený systém v reakci na jeden výchozí UDP požadavek. V průměru pro 58000 systémů postižených problémem bylo číslo opakovaných požadavků 45. Při optimální scénáři odeslání jednoho 30-bajtového výchozího požadavku při 45 opakovaných pokusech o načtení povede k odeslání 18000 bajtů dat na cílový systém, tj. dojde ke zesílení provozu o 600 násobků. V nejhorším scénáři je zesílení 108 násobků.
Dále lze zmínit, že společnost Cloudflare odrazila rekordní DDoS útok, při kterém byl na systém oběti namířen tok o rychlosti 3,8 terabitu za sekundu (2,14 miliardy paketů za sekundu). Uvádí se, že útok byl organizován za použití velkého počtu kompromitovaných domácích routerů značek Asus a Mikrotik, stejně jako DVR zařízení a webových serverů, které byly hackovány mimo jiné za použití relativně nových zranitelností.
Zdroj: opennet.ru
