Das CERT-Koordinationszentrum (Computer-Notfallteam) hat eine Warnung zu einer Reihe von Sicherheitsanfälligkeiten in Implementierungen verschiedener Anwendungsprotokolle veröffentlicht, die das UDP-Protokoll als Transport verwenden. Diese Schwachstellen können für Denial-of-Service-Angriffe ausgenutzt werden, da sie eine Schleifenbildung im Paketverkehr zwischen zwei Hosts verursachen können. Angreifer könnten beispielsweise die verfügbare Netzwerkbandbreite erschöpfen, Netzwerkanwendungen blockieren (zum Beispiel durch das Erzeugen hoher Lasten und das Überschreiten von Anfrageratenbegrenzungen) und Traffic-Verstärker für DDoS-Angriffe implementieren.
Unter den Protokollen, deren Implementierungen anfällig sein können, werden DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) und QOTD (RFC865) erwähnt. Die Schwachstelle (CVE-2024-2169) wurde in bestimmten Produkten von Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) und MikroTik bestätigt. Als Gegenmaßnahmen zur Blockierung dieser Schwachstellen wird empfohlen, die Spoofing-Schutzfunktion (uRPF) in der Firewall zu aktivieren, den Zugang zu nicht benötigten UDP-Diensten einzuschränken und eine Bandbreitenbegrenzung (Rate-Limit und QoS) einzurichten.
Die Schwachstellen ergeben sich aus der Unsicherheit des UDP-Protokolls gegenüber Adress-Spoofing – wenn die Transit-Router nicht gegen Spoofing geschützt sind, kann ein Angreifer in einem UDP-Paket die IP-Adresse eines beliebigen Servers angeben und dieses Paket an einen anderen Server senden, der dann die Antwort an die angegebene gefälschte Adresse zurücksendet. Die Angriffsmethode führt zu einer Situation, in der die Paketübertragung zwischen Servern, die anfällige Implementierungen des Protokolls verwenden, endlos wiederholt wird. Beispielsweise könnte der Zielserver auf das empfangene Paket mit einem Fehlercode antworten, während der Server, dessen Adresse der Angreifer eingegeben hat, seine Antwort zurücksendet, was wiederum dazu führt, dass das Paket mit dem Fehlercode erneut zurückgesendet wird. So entsteht eine Server endlose Ping-Pong-Spielerei mit Paketen.
Es ist bemerkenswert, dass diese Angriffsart nicht neu ist und Server Die Zeit-Synchronisierung mit ntpd hatte eine Angriffsoption, die bereits 2009 (CVE-2009-3563) in den Versionen 4.2.4p8 und 4.2.5 beseitigt wurde. Der Angriff bestand darin, ein NTP-Paket mit einer gefälschten Adresse und dem gesetzten MODE_PRIVATE-Flag zu senden. Bei der Verarbeitung gab der Zielserver eine Antwort zurück, dass der private Modus nicht genutzt werden kann, wobei das MODE_PRIVATE-Flag gesetzt blieb. Folglich konnte ein anderer Server diesen Flag nicht verarbeiten und gab seine Antwort zurück, was zu einer endlosen Schleife des Paketverkehrs zwischen zwei NTP-Servern führte. Für das DNS-Protokoll wurde die Warnung vor der Möglichkeit eines solchen Angriffs bereits 1996 veröffentlicht.
Globale Internet-Adressscans haben ergeben, dass derzeit mindestens 23.000 verwundbare TFTP-Server, 63.000 DNS-Server, 89.000 NTP-Server, 56.000 Echo-/RFC862-Dienste, 22.000 Chargen-/RFC864-Dienste und 21.000 QOTD-/RFC865-Dienste online sind. Bei den NTP-Servern wird vermutet, dass die nicht behobenen Sicherheitsanfälligkeiten auf die Verwendung sehr alter ntpd-Versionen zurückzuführen sind, die vor 2010 veröffentlicht wurden. Die Dienste Echo, Chargen und QOTD sind aufgrund ihrer Architektur von Natur aus verwundbar. Die Situation bei den TFTP- und DNS-Servern erfordert die Klärung mit ihren Administratoren. Die Server atftpd und tftpd sind von diesem Problem nicht betroffen, da sie bei der Antwortübermittlung eine zufällige Quellportnummer verwenden. Unter den verwundbaren DNS-Servern wird dproxy-nexgen genannt. Bei Microsoft-Produkten zeigt sich das Problem in WDS (Windows Deployment Services), während es bei Cisco-Produkten in den Routern der Serien 2800 und 2970 auftritt.
Quelle: opennet.ru
