CERT koordineerimiskeskus (arvutite hädaolukordade reageerimismeeskond) avaldas hoiatuse mitmete haavatavuste kohta erinevate rakenduse protokollide teostustes, mis kasutavad edastusprotokollina UDP-d. Need haavatavused võivad olla kasutatud teenuste katkestamiseks, kuna nad võimaldavad paketivahetuse lõksu jäämist kahe hosti vahel. Näiteks võivad ründajad saavutada võrgu saadaval oleva ribalaiuse ammendumise, blokeerida võrguteenuste töö (nt luues suurt koormust, mis ületab päringute intensiivsuse piiri) ja rakendada liiklusvõimendajaid DDoS-rünnakute jaoks.
Protokollid, mille teatud rakendused on haavatavad, hõlmavad DNS-i, NTP-d, TFTP-d, Echo (RFC862), Chargen (RFC864) ja QOTD-d (RFC865). Haavatavuse (CVE-2024-2169) olemasolu on kinnitatud mitmesugustes toodetes ettevõtetelt Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) ja MikroTik. Haavatavuste blokeerimise soovituslikeks meetmeteks on tulekahju seina kaudu valeandmete blokeerimine (uRPF), juurdepääsu piiramise seadistamine liigsetele UDP-teenustele ning liikluse intensiivsuse piiramise seadistamine (rate-limit ja QoS).
Haavat tulenevad UDP-protokolli adresse spikliks ei kaitsmisest — kui ülekande marsruuteritel puudub spikliks kaitse, saab ründaja UDP-paketis näidata suvalise serveri IP-aadressi ja saata selle paketi teisele serverile, mis saadab vastuse näidatud vale aadressile. Rünnakumeetod seisneb pakettide vahetuse tsükli loomises serverite vahel, mis kasutavad haavatavaid protokolliversioone. Näiteks võib sihtserver pärast saadud paketi vastust saata veakoodi, samas kui server, mille aadressi ründaja sisestas, saadab vastuse, mis omakorda toob jälle tagasi paketi veakoodiga. N niimoodi, serverid hakkavad nad omavahel pakette piiri kaupa "ping-pongi" mängima.
On tähelepanuväärne, et selline rünnakumeetod ei ole uus ja serveril ntpd ajakohandamine on üks rünnakute variante, mis eemaldati juba 2009. aastal (CVE-2009-3563) versioonides 4.2.4p8 ja 4.2.5. Rünnak põhines NTP-paketi saatmisel vale aadressiga ja seadistatud MOOD_PRIVATE lipuga, mille töötlemisel tagastas sihtserver vastuse, et privaatrežiimi kasutada ei saa, jättes vastusesse MOOD_PRIVATE lipu. Seetõttu ei saanud ka teine server seda lippu töödelda ja tagastas oma vastuse, mis viis pakettide vahetuse tsüklisse kahe NTP-serveri vahel. DNS-protokolli osas on sarnase rünnaku võimalusest hoiatav teave avaldatud juba 1996. aastal.
Globaalsed skaneerimised Interneti aadressidest on näidanud, et võrgus on hetkel vähemalt 23 000 haavatavat TFTP-serverit, 63 000 DNS-serverit, 89 000 NTP-serverit, 56 000 Echo/RFC862 teenust, 22 000 Chargen/RFC864 teenust ja 21 000 QOTD/RFC865 teenust. Eeldatakse, et NTP-serverite puhul on mitteparandatud haavatavuse olemasolu seotud väga vanade ntpd versioonide kasutamisega, mis on välja antud enne 2010. aastat. Echo, Chargen ja QOTD teenused on algselt haavatavad oma arhitektuuri tõttu. TFTP ja DNS serverite olukord nõuab selgitusi nende haldajatega. Serverid atftpd ja tftpd ei ole probleemile vastuvõtlikud, kuna need kasutavad vastuse saatmisel juhuslikku lähteporti. Haavatavate DNS-serverite seas mainitakse dproxy-nexgen. Microsofti toodetes avaldub probleem WDS (Windows Deployment Services) kaudu ning Cisco toodetes on probleem olemas 2800 ja 2970 seeria ruuterites.
Allikas: opennet.ru
