Eine Schwachstelle in CUPS erwies sich als nützlich zur Verstärkung des Traffics bei DDoS-Angriffen.

Die Gruppe, die für die Sicherheit des Content Delivery Networks Akamai verantwortlich ist, hat einen zusätzlichen Angriffsvektor auf den Prozess cups-browsed identifiziert, abgesehen davon, dass dieser als eines der Glieder in einem Exploit verwendet wird, der zur Codeausführung im System führt. Durch das Senden von Anfragen an den Prozess cups-browsed, der unbegrenzt Verbindungen am Port 631 akzeptiert, können Daten an einen anderen Host gesendet werden, wobei die Größe dieser Daten das ursprüngliche Anfrageformat um das bis zu 600-fache übersteigt. Zum Vergleich kann der Verstärkungsfaktor für memcached 10.000 bis 50.000-fach erreichen, NTP – 556-fach, DNS – 28-54, RIPv2 – 21, SNMPv2 – 6.

Diese Eigenschaft ermöglicht es, Systeme mit cups-browsed als Traffic-Verstärker für DDoS-Angriffe zu nutzen. Die Angriffsmethode mit einem Traffic-Verstärker basiert darauf, dass Anfragen von Computern, die an DDoS-Angriffen beteiligt sind, nicht direkt an das Zielsystem, sondern über einen dazwischen geschalteten Traffic-Verstärker geleitet werden. Bei der Netzwerkscannung wurden über 198.000 anfällige Systeme mit CUPS identifiziert, von denen 34 % (58.000 Systeme) für die Verstärkung des Traffics in DDoS-Angriffen geeignet sind.

Im Gegensatz zu Traffic-Boosting-Methoden, die das Senden von UDP-Paketen mit einer gefälschten Rücksendadresse des Opfers erfordern, ermöglicht die Verwendung von cups-browsed die Vermeidung von Spoofing. Der Dienst cups-browsed bietet die eingebaute Fähigkeit, eine PPD-Datei von einem beliebigen Server Server herunterzuladen, als Antwort auf eine unautorisierte externe Anfrage, bei der der Client eine URL überträgt und cups-browsed versucht, die PPD-Datei vom angegebenen Server zu laden.

Wenn eine Anfrage zum Laden einer PPD-Datei an cups-browsed gesendet wird, kann eine Anreicherung des Wertes 'IPP URI' erreicht werden, die bis zu 989 Byte erreichen kann. In der initiierten cups-browsed-Anfrage wird der Wert 'IPP URI' zweimal dupliziert – einmal im HTTP-Header und ein weiteres Mal im Inneren des POST-Anfragekörpers, und die Anfragen werden zyklisch wiederholt, nachdem die Versuche zum Laden fehlschlugen und ein dem Server durch 404 Fehlercode zurückgegeben wurde.

Auf 62 % (35900) der überprüften Systeme hat cups-browsed mindestens 10 TCP/IPP/HTTP-Anfragen an das angegriffene System als Antwort auf eine ursprüngliche UDP-Anfrage gesendet. Im Durchschnitt lag die Anzahl der Wiederholungen bei 45 für 58000 anfällige Systeme. Im optimalen Szenario führt das Senden einer ursprünglichen 30-Byte-Anfrage bei 45 Wiederholungsversuchen zu einer Datenübertragung von 18000 Bytes an das Zielsystem, was eine Verkehrsverstärkung von 600-fach zur Folge hat. Im schlimmsten Fall beträgt die Verstärkung 108-fach.

Zusätzlich kann darauf hingewiesen werden, dass die Firma Cloudflare einen Rekord bei DDoS-Angriffen abgewehrt hat, bei dem ein Datenstrom von 3.8 Terabit pro Sekunde (2.14 Milliarden Pakete pro Sekunde) auf das System des Opfers gerichtet war. Es wird berichtet, dass der Angriff unter Verwendung einer Vielzahl von kompromittierten Heimroutern von Asus und Mikrotik sowie DVR-Geräten und Web-Servern organisiert wurde, die unter anderem mit relativ neuen Schwachstellen gehackt wurden.

Quelle: opennet.ru