Το Κέντρο Συντονισμού CERT (Computer Emergency Response Team) εξέδωσε προειδοποίηση σχετικά με μια σειρά από τρωτά σημεία σε υλοποιήσεις διαφόρων πρωτοκόλλων εφαρμογών που χρησιμοποιούν το UDP ως μεταφορά. Τα τρωτά σημεία μπορούν να χρησιμοποιηθούν για να προκαλέσουν άρνηση υπηρεσίας λόγω της δυνατότητας βρόχου πακέτων μεταξύ δύο κεντρικών υπολογιστών. Για παράδειγμα, οι εισβολείς μπορούν να εξαντλήσουν το διαθέσιμο εύρος ζώνης δικτύου, να αποκλείσουν τις υπηρεσίες δικτύου (για παράδειγμα, δημιουργώντας υψηλό φορτίο και υπέρβαση ορίων ρυθμού αιτήματος) και να εφαρμόσουν ενισχυτές κυκλοφορίας για επιθέσεις DDoS.
Τα πρωτόκολλα των οποίων οι υλοποιήσεις είναι ευάλωτες περιλαμβάνουν τα DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) και QOTD (RFC865). Η παρουσία της ευπάθειας (CVE-2024-2169) έχει επιβεβαιωθεί σε ορισμένα προϊόντα των Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) και MikroTik. Ως λύσεις για τον αποκλεισμό τρωτών σημείων, συνιστάται η ενεργοποίηση του αποκλεισμού πλαστογράφησης (uRPF) στο τείχος προστασίας, ο περιορισμός της πρόσβασης σε μη απαραίτητες υπηρεσίες UDP και η διαμόρφωση του περιορισμού της έντασης της κυκλοφορίας (όριο ταχύτητας και QoS).
Τα τρωτά σημεία πηγάζουν από την ευπάθεια του πρωτοκόλλου UDP στην πλαστογράφηση διευθύνσεων. Χωρίς προστασία κατά της πλαστογράφησης σε δρομολογητές διέλευσης, ένας εισβολέας μπορεί να καθορίσει τη διεύθυνση IP ενός αυθαίρετου διακομιστή σε ένα πακέτο UDP και να στείλει το πακέτο σε έναν άλλο διακομιστή, ο οποίος στη συνέχεια θα επιστρέψει μια απάντηση στην πλαστογραφημένη διεύθυνση. Η μέθοδος επίθεσης περιλαμβάνει τη δημιουργία ενός βρόχου πακέτων μεταξύ διακομιστών χρησιμοποιώντας ευάλωτες υλοποιήσεις πρωτοκόλλου. Για παράδειγμα, ο διακομιστής-στόχος μπορεί να απαντήσει σε ένα εισερχόμενο πακέτο με έναν κωδικό σφάλματος και ο διακομιστής του οποίου τη διεύθυνση αντικατέστησε ο εισβολέας θα επιστρέψει τη δική του απάντηση, η οποία, με τη σειρά της, θα οδηγήσει και πάλι στην επιστροφή ενός πακέτου με έναν κωδικό σφάλματος. Έτσι, διακομιστές Θα αρχίσουν να παίζουν πινγκ πονγκ μεταξύ τους με σακούλες ατελείωτες.
Αξίζει να σημειωθεί ότι αυτή η μέθοδος επίθεσης δεν είναι καινούργια και υπηρέτης Μία παραλλαγή επίθεσης του συγχρονισμού χρόνου ntpd διορθώθηκε το 2009 (CVE-2009-3563) στις εκδόσεις 4.2.4p8 και 4.2.5. Η επίθεση συνίστατο στην αποστολή ενός πακέτου NTP με μια πλαστογραφημένη διεύθυνση και την καθορισμένη σημαία MODE_PRIVATE. Κατά την επεξεργασία, ο διακομιστής-στόχος απάντησε ότι η ιδιωτική λειτουργία ήταν αδύνατη, αφήνοντας τη σημαία MODE_PRIVATE καθορισμένη στην απάντησή του. Κατά συνέπεια, ο άλλος διακομιστής δεν μπόρεσε επίσης να επεξεργαστεί αυτήν τη σημαία και επέστρεψε τη δική του απάντηση, με αποτέλεσμα έναν βρόχο πακέτων μεταξύ των δύο διακομιστών NTP. Για το πρωτόκολλο DNS, μια προειδοποίηση σχετικά με την πιθανότητα μιας τέτοιας επίθεσης δημοσιεύτηκε ήδη από το 1996.
Μια παγκόσμια σάρωση διευθύνσεων Διαδικτύου αποκάλυψε ότι αυτήν τη στιγμή υπάρχουν τουλάχιστον 23 ευάλωτοι διακομιστές TFTP, 63 διακομιστές DNS, 89 διακομιστές NTP, 56 υπηρεσίες Echo/RFC862, 22 υπηρεσίες Chargen/RFC864 και 21 υπηρεσίες QOTD/RFC865 στο δίκτυο. Υποτίθεται ότι στην περίπτωση των διακομιστών NTP, η μη ενημερωμένη ευπάθεια σχετίζεται με τη χρήση πολύ παλιών εκδόσεων του ntpd, που κυκλοφόρησαν πριν από το 2010. Οι υπηρεσίες Echo, Chargen και QOTD είναι ευάλωτες εξαρχής λόγω της αρχιτεκτονικής τους. Η κατάσταση με τους διακομιστές TFTP και DNS απαιτεί έρευνα με τους διαχειριστές τους. Οι διακομιστές atftpd και tftpd δεν επηρεάζονται από το πρόβλημα, καθώς χρησιμοποιούν έναν τυχαίο αριθμό θύρας δικτύου κατά την αποστολή μιας απάντησης. Το dproxy-nexgen αναφέρεται ως ευάλωτος διακομιστής DNS. Στα προϊόντα της Microsoft, το πρόβλημα εκδηλώνεται στο WDS (Windows Υπηρεσίες Ανάπτυξης), και στα προϊόντα της Cisco, το πρόβλημα υπάρχει στους δρομολογητές της σειράς 2800 και 2970.
Πηγή: opennet.ru
