Forscher der Universität Boston Angriffsmethode
(CVE-2019-11728), kann die IP-Adressen und offenen Netzwerkports in einem internen Netzwerk des Benutzers scannen, das durch eine Firewall vom externen Netzwerk isoliert ist, oder auf dem aktuellen System (localhost). Ein Angriff kann durchgeführt werden, indem eine speziell gestaltete Seite im Browser geöffnet wird. Die vorgeschlagene Technik basiert auf der Verwendung des HTTP-Headers (HTTP Alternativdienste, ). Das Problem tritt in Firefox, Chrome und auf deren Engines basierenden Browsern auf, einschließlich Tor Browser und Brave.
Der Alt-Svc-Header ermöglicht es dem Server, einen alternativen Weg zur Kontaktaufnahme mit der Website zu definieren und dem Browser Anweisungen zu geben, die Anfrage an einen neuen Host umzuleiten, beispielsweise zur Lastverteilung. Auch die Angabe eines Netzwerkports für die Umleitung ist möglich, beispielsweise muss 'Alt-Svc: http/1.1="other.example.com:443";ma=200' dem Client vorschreiben, sich mit dem Host other.example.org zu verbinden, um die angeforderte Seite über den Netzwerkport 443 und das Protokoll HTTP/1.1 abzurufen. Der Parameter „ma“ legt die maximale Gültigkeitsdauer der Umleitung fest. Neben HTTP/1.1 werden auch HTTP/2-over-TLS (h2), HTTP/2-over-Plaintext (h2c), SPDY (spdy) und QUIC (quic), das UDP verwendet, unterstützt.
Um die Adressen zu scannen, kann die Angreifer-Website systematisch alle interessanten Adressen im internen Netzwerk und die Netzwerkports durchgehen, wobei die Verzögerung zwischen wiederholten Anfragen als Indikator verwendet wird.
Wenn die umgeleitete Ressource nicht verfügbar ist, erhält der Browser sofort ein RST-Paket als Antwort und markiert sofort den alternativen Dienst als nicht verfügbar und setzt die im Antrag angegebene Lebensdauer der Umleitung zurück.
Wenn der Netzwerkport offen ist, benötigt der Abschluss der Verbindung mehr Zeit (es wird versucht, die Verbindung mit dem entsprechenden Paket-Austausch herzustellen) und der Browser reagiert nicht sofort.
Um Informationen über die Überprüfung zu erhalten, kann der Angreifer den Benutzer sofort auf eine zweite Seite umleiten, die im Alt-Svc-Header auf einen funktionierenden Host des Angreifers verweist. Wenn der Client-Browser eine Anfrage an diese Seite sendet, kann man davon ausgehen, dass die Umleitung der ersten Alt-Svc-Anfrage zurückgesetzt wurde und der überprüfte Host und Port nicht verfügbar sind. Wenn keine Anfrage erfolgt, bedeutet das, dass die Daten zur ersten Umleitung noch nicht abgelaufen sind und die Verbindung hergestellt wurde.
Die angegebene Methode ermöglicht unter anderem die Überprüfung von in der Browser-Blacklist aufgeführten Netzwerkports, wie etwa die Ports von Mailservern. Ein erfolgreicher Angriff wird durch das Einfügen von Iframes in den Traffic des Opfers und die Anwendung des Alt-Svc HTTP/2 Protokolls für Firefox sowie QUIC zum Scannen von UDP-Ports in Chrome vorbereitet. Im Tor-Browser kann der Angriff nicht im Kontext eines internen Netzwerks oder localhost angewendet werden, eignet sich jedoch zur Durchführung von verdecktem Scannen externer Hosts über den Exit-Knoten von Tor. Das Problem mit der Portscannung besteht bereits in Firefox 68.
Der Alt-Svc-Header kann auch angewendet werden:
- Beim Durchführen von DDoS-Angriffen. Zum Beispiel kann für TLS eine Verstärkung um das 60-fache erreicht werden, da die ursprüngliche Anfrage des Clients 500 Byte benötigt und die Antwort mit dem Zertifikat etwa 30 kB beträgt. Durch die Generierung ähnlicher Anfragen in einer Schleife auf mehreren Client-Systemen können die verfügbaren Netzwerkressourcen des Servers erschöpft werden;
- Um Mechanismen zum Schutz vor Phishing und Malware, die von Diensten wie Safe Browsing bereitgestellt werden, zu umgehen (eine Umleitung auf einen bösartigen Host führt nicht zur Anzeige einer Warnung);
- Um das Verfolgen der Bewegung des Benutzers zu organisieren. Das Prinzip der Methode besteht darin, ein iframe einzufügen, das im Alt-Svc auf einen externen Tracking-Handler verweist, dessen Aufruf unabhängig von aktivierten Schutzmaßnahmen gegen Tracker erfolgt. Zudem ist es möglich, das Tracking auf Anbieter-Ebene durch die Verwendung eines eindeutigen Identifikators im Alt-Svc (Zufällige IP:Port als Identifikator) und dessen anschließender Analyse im Transit-Traffic durchzuführen;
- Um Informationen über den Verlauf der Bewegungen zu extrahieren. Indem man ein iframe auf seine Seite einfügt, das ein Bild von einer bestimmten, Alt-Svc-nutzenden Website anfordert, und den Zustand des Alt-Svc im Traffic analysiert, kann der Angreifer, der in der Lage ist, den Transit-Traffic zu analysieren, den Schluss ziehen, dass der Benutzer die angegebene Website zuvor bereits besucht hat;
- Das Rauschen von Protokolldateien von Intrusion Detection Systemen. Über Alt-Svc können Wellen von Anfragen an bösartige Systeme im Namen des Benutzers ausgelöst werden, um den Anschein von falschen Angriffen zu erzeugen und das Gesamtvolumen der Informationen über einen tatsächlichen Angriff zu verschleiern.
Quelle: opennet.ru
