Gruppen, der er ansvarlig for sikkerheden i Akamai's indholdsleveringsnetværk, har identificeret en yderligere angrebsvektor på cups-browsed-processen, udover dennes anvendelse som et led i et exploit, der fører til kodeeksekvering på systemet. Ved at sende anmodninger til cups-browsed-processen, der uden restriktioner accepterer forbindelser på port 631, kan man opnå, at data sendes til en anden vært, hvis størrelse kan overstige den oprindelige anmodning med op til 600 gange. Til sammenligning kan forstærkningsforholdet for memcached nå 10-50 tusinde gange, NTP — 556 gange, DNS — 28-54, RIPv2 — 21, SNMPv2 — 6.
En sådan egenskab muliggør brugen af systemer med cups-browsed som trafikforstærkere ved udførelse af DDoS-angreb. Angrebsmetoden ved brug af trafikforstærkere bygger på det faktum, at anmodninger fra computere, der deltager i DDoS-angreb, ikke sendes direkte til offerets system, men gennem en mellemleds trafikforstærker. Under scanningen af netværket blev der identificeret over 198.000 sårbare systemer med CUPS, hvoraf 34% (58.000 systemer) viste sig at være egnede til at forstærke trafik i DDoS-angreb.
I modsætning til trafikforstærkningsmetoder, der kræver sending af UDP-pakker med et falsk returadresse fra offeret, gør brugen af cups-browsed det muligt at undgå spoofing. Tjenesten cups-browsed har en indbygget mulighed for at downloade PPD-filer fra et vilkårligt server som svar på en uautoriseret ekstern anmodning, hvor klienten sender en URL, og cups-browsed forsøger at downloade PPD-filen fra den angivne server.
Ved at sende en anmodning om at downloade PPD-filen til cups-browsed kan man opnå, at der tilføjes ekstra fyld til værdien "IPP URI", som kan nå op på 989 byte. I dette tilfælde bliver værdien "IPP URI" duplikeret i den igangsatte cups-browsed-anmodning — én gang i HTTP-headeren og en gang inden i kroppen af POST-anmodningen, og anmodningerne gentages cyklisk efter mislykkede downloadforsøg og fejlmeddelelser serveren 404-fejlkoden.
På 62% (35900) af de undersøgte systemer sendte cups-browsed mindst 10 TCP/IP-HTTP-anmodninger til det angrebne system som svar på en enkelt UDP-anmodning. I gennemsnit for 58000 sårbare systemer var antallet af gentagne anmodninger 45. I det optimale scenarie vil en enkelt 30-byte UDP-anmodning med 45 gentagne forsøg resultere i, at der sendes 18000 byte data til det målrettede system, hvilket giver en trafikforstærkning på 600 gange. I det værste scenarie er forstærkningen 108 gange.
Desuden kan der nævnes, at Cloudflare har afværget et rekordstort DDoS-angreb, hvor der blev rettet et trafikflow på 3,8 terabit per sekund (2,14 milliarder pakker per sekund) mod offersystemet. Det er bemærket, at angrebet blev organiseret ved hjælp af et stort antal kompromitterede hjemmeroutrar fra Asus og Mikrotik samt DVR-enheder og webservere, der blev hacket blandt andet ved hjælp af relativt nye sårbarheder.
Kilde: opennet.ru
