Das Koordinationszentrum CERT (Computer-Notfallteam) hat eine Warnung über eine Reihe von Schwachstellen in Implementierungen verschiedener Anwendungsprotokolle veröffentlicht, die das UDP-Protokoll als Transportmittel verwenden. Diese Schwachstellen können für DoS-Angriffe (Denial of Service) ausgenutzt werden, da sie die Möglichkeit bieten, den Paketverkehr zwischen zwei Hosts zu verketten. Angreifer können beispielsweise die verfügbare Netzwerkbandbreite erschöpfen, die Funktion von Netzwerkdiensten blockieren (zum Beispiel durch Erzeugung hoher Last und Überschreitung von Anfrageintensitätsbeschränkungen) und so genannte Traffic-Amplifier für DDoS-Angriffe implementieren.
Unter den Protokollen, deren Implementierungen anfällig sind, werden DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) und QOTD (RFC865) genannt. Die Schwachstelle (CVE-2024-2169) wurde in bestimmten Produkten von Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) und MikroTik bestätigt. Als Abhilfemaßnahme wird empfohlen, auf der Firewall Spoofing-Schutz (uRPF) zu aktivieren, den Zugriff auf unnötige UDP-Dienste zu beschränken und die Verkehrsintegritätsbegrenzung (Rate-Limit und QoS) einzurichten.
Die Schwachstellen ergeben sich aus der Unzulänglichkeit des UDP-Protokolls im Hinblick auf Adress-Spoofing – ohne Schutzmaßnahmen gegen Spoofing auf Transit-Routern kann der Angreifer in einem UDP-Paket die IP-Adresse eines beliebigen Servers angeben und dieses Paket an einen anderen Server senden, der dann eine Antwort an die angegebene gefälschte Adresse zurücksendet. Die Angriffsstrategie besteht darin, eine Situation zu schaffen, in der der Paketverkehr zwischen Servern mit anfälligen Implementierungen des Protokolls in einen zyklischen Austausch übergeht. Zum Beispiel kann der Zielserver als Antwort auf das empfangene Paket eine Antwort mit einem Fehlercode senden, während der Server, dessen Adresse der Angreifer eingefügt hat, seine Antwort zurücksendet, was wiederum dazu führt, dass ein Paket mit einem Fehlercode zurückkommt. Auf diese Weise Server beginnen sie, sich endlos im 'Ping-Pong' der Pakete zu verketten.
Bemerkenswert ist, dass diese Art von Angriff nicht neu ist und in Server Die Zeit synchronisierung von ntpd hat eine der Angriffsmöglichkeiten, die bereits 2009 (CVE-2009-3563) in den Versionen 4.2.4p8 und 4.2.5 beseitigt wurde. Der Angriff bestand darin, ein NTP-Paket mit einer gefälschten Adresse und dem gesetzten FLAG MODE_PRIVATE zu senden. Bei der Verarbeitung gab der Zielserver die Antwort zurück, dass der private Modus nicht verwendet werden kann, wobei das FLAG MODE_PRIVATE gesetzt blieb. Folglich konnte auch ein anderer Server dieses FLAG nicht verarbeiten und gab seine Antwort zurück, was zu einer Endlosschleife beim Paketverkehr zwischen zwei NTP-Servern führte. Für das DNS-Protokoll wurde bereits 1996 eine Warnung über die Möglichkeit eines solchen Angriffs veröffentlicht.
Eine globale Adressscannung im Internet hat gezeigt, dass derzeit mindestens 23.000 verwundbare TFTP-Server, 63.000 DNS-Server, 89.000 NTP-Server, 56.000 Echo-/RFC862-Dienste, 22.000 Chargen-/RFC864-Dienste und 21.000 QOTD-/RFC865-Dienste online sind. Es wird vermutet, dass das Vorhandensein unbeheblicher Sicherheitsanfälligkeiten bei NTP-Servern mit der Verwendung sehr alter Versionen von ntpd, die vor 2010 veröffentlicht wurden, zusammenhängt. Die Dienste Echo, Chargen und QOTD sind aufgrund ihrer Architektur von Natur aus verwundbar. Die Situation bei den TFTP- und DNS-Servern erfordert eine Klärung mit deren Administratoren. Die Server atftpd und tftpd sind von dem Problem nicht betroffen, da sie bei der Antwortsendung eine Zufallsnummer für den Quellport verwenden. Unter den verwundbaren DNS-Servern wird dproxy-nexgen erwähnt. Bei Microsoft-Produkten tritt das Problem in WDS (Windows Deployment Services) auf, während es bei Produkten von Cisco in den Routern der Serien 2800 und 2970 vorhanden ist.
Quelle: opennet.ru
