Die Gruppe, die fĂŒr die Sicherheit des Akamai Content Delivery Networks verantwortlich ist, hat einen weiteren Angriffsvektor auf den Prozess cups-browsed identifiziert, neben dessen Nutzung als eines der Glieder in einem Exploit, der zur AusfĂŒhrung von Code im System fĂŒhrt. Durch das Senden von Anfragen an den Prozess cups-browsed, der ohne EinschrĂ€nkungen Verbindungen auf Port 631 akzeptiert, können Daten an einen anderen Host gesendet werden, deren GröĂe die ursprĂŒngliche Anfrage um das 600-Fache ĂŒbersteigt. Zum Vergleich kann der VerstĂ€rkungsfaktor fĂŒr memcached 10-50 Tausend betragen, fĂŒr NTP 556, fĂŒr DNS 28-54, fĂŒr RIPv2 21 und fĂŒr SNMPv2 6.
Diese Eigenschaft ermöglicht es, Systeme mit cups-browsed als Traffic-VerstĂ€rker bei DDoS-Attacken zu verwenden. Die Angriffsmethode mit einem Traffic-VerstĂ€rker basiert darauf, dass Anfragen von an DDoS-Attacken beteiligten Computern nicht direkt an das Zielsystem, sondern ĂŒber einen ZwischenverstĂ€rker geleitet werden. Bei der Netzwerkanalyse wurden ĂŒber 198 Tausend verwundbare Systeme mit CUPS identifiziert, von denen 34 % (58 Tausend Systeme) fĂŒr den VerstĂ€rkungs-traffic bei DDoS-Attacken geeignet sind.
Im Gegensatz zu Methoden zur Traffic-VerstĂ€rkung, die das Senden von UDP-Paketen mit gefĂ€lschter Absenderadresse des Opfers erfordern, ermöglicht die Verwendung von cups-browsed die Umgehung von Spoofing. Der Dienst cups-browsed hat die integrierte Möglichkeit, eine PPD-Datei von einem beliebigen Server herunterzuladen. Server als Antwort auf eine unautorisierte externe Anfrage, bei der der Client eine URL ĂŒbertrĂ€gt und cups-browsed versucht, die PPD-Datei vom angegebenen Server herunterzuladen.
Beim Senden einer Anfrage zum Herunterladen einer PPD-Datei in cups-browsed kann an den Wert «IPP URI» eine zusĂ€tzliche FĂŒllung angehĂ€ngt werden, die bis zu 989 Byte betragen kann. Dabei wird im initiierten cups-browsed-Aufruf der Wert «IPP URI» doppelt wiederholt â einmal im HTTP-Header und ein zweites Mal im Body der POST-Anfrage, und die Anfragen werden zyklisch wiederholt nach erfolglosen Versuchen des Herunterladens und der RĂŒckgabe Server des 404-Fehlercodes.
Bei 62 % (35900) der geprĂŒften Systeme hat cups-browsed mindestens 10 TCP/IPP/HTTP-Anfragen an das angegriffene System als Antwort auf eine einzige eingehende UDP-Anfrage gesendet. Im Durchschnitt betrug die Anzahl der Wiederholungen fĂŒr 58000 betroffene Systeme 45. Im optimalen Szenario wĂŒrde das Senden einer einzelnen 30-Byte-Anfrage bei 45 Wiederholungsversuchen zu einer DatenĂŒbertragung von 18000 Byte an das Zielsystem fĂŒhren, was einen Traffic-Anstieg von 600-fach zur Folge hĂ€tte. Im ungĂŒnstigsten Szenario betrĂ€gt der Anstieg das 108-fache.
ZusĂ€tzlich kann erwĂ€hnt werden, dass die Firma Cloudflare einen Rekord im Bereich DDoS-Angriffe reflektiert hat, bei dem ein Datenstrom von 3,8 Terabit pro Sekunde (2,14 Milliarden Pakete pro Sekunde) auf das System des Opfers geleitet wurde. Es wird festgestellt, dass der Angriff unter Verwendung einer groĂen Anzahl kompromittierter Heimrouter von Asus und Mikrotik sowie von DVR-GerĂ€ten und Webservern organisiert wurde, die unter anderem durch relativ frische Schwachstellen gehackt wurden.
Quelle: opennet.ru
