Une vulnérabilité dans CUPS s'est révélée utile pour amplifier le trafic lors d'attaques DDoS

Le groupe en charge de la sécurité du réseau de diffusion de contenu Akamai a détecté un vecteur d'attaque supplémentaire sur le processus cups-browsed, qui est utilisé comme l'un des maillons dans une exploitation pouvant mener à l'exécution de code dans le système. En envoyant des requêtes au processus cups-browsed, qui accepte les connexions sur le port 631 sans restrictions, il est possible d'envoyer des données vers un autre hôte, dont la taille peut dépasser jusqu'à 600 fois la requête d'origine. À titre de comparaison, le facteur d'amplification pour memcached peut atteindre 10 à 50 000 fois, NTP — 556 fois, DNS — 28 à 54 fois, RIPv2 — 21 fois, et SNMPv2 — 6 fois.

Cette particularité permet d'utiliser des systèmes avec cups-browsed comme amplificateurs de trafic lors de DDoS. La méthode d'attaque avec amplificateur de trafic repose sur le fait que les requêtes des ordinateurs participant à des DDoS ne sont pas dirigées directement vers le système cible, mais via un amplificateur intermédiaire. Lors d'un scan réseau, plus de 198 000 systèmes vulnérables avec CUPS ont été identifiés, parmi lesquels 34 % (58 000 systèmes) se sont révélés aptes à l'amplification du trafic dans une attaque DDoS.

Contrairement aux méthodes d'amplification du trafic nécessitant l'envoi de paquets UDP avec une adresse de retour falsifiée de la victime, l'utilisation de cups-browsed permet de se passer de spoofing. Le service cups-browsed a une capacité intégrée pour charger un fichier PPD à partir d'une source arbitraire de serveurs en réponse à une requête externe non autorisée, où le client fournit une URL, et cups-browsed tente de charger le fichier PPD depuis le serveur spécifié.

Lors de l'envoi d'une requête pour charger un fichier PPD dans cups-browsed, il est possible d'attacher à la valeur « IPP URI » un remplissage supplémentaire pouvant atteindre 989 octets. Dans cette requête initiée par cups-browsed, la valeur « IPP URI » est dupliquée — une fois dans l'en-tête HTTP, et une seconde fois dans le corps de la requête POST, avec des requêtes répétées de manière cyclique après des tentatives de chargement infructueuses et le retour serveur d'un code d'erreur 404.

Sur 62 % (35900) des systèmes vérifiés, cups-browsed a envoyé au moins 10 requêtes TCP/IPP/HTTP vers le système ciblé en réponse à une seule requête UDP source. En moyenne, pour 58000 systèmes vulnérables, le nombre de tentatives répétées s'est élevé à 45. Dans le scénario optimal, l'envoi d'une seule requête source de 30 octets avec 45 tentatives de téléchargement aboutira à l'envoi de 18000 octets de données vers le système cible, représentant un renforcement du trafic de 600 fois. Dans le pire des cas, le renforcement atteint 108 fois.

On peut également noter que l'entreprise Cloudflare a reflété une attaque DDoS record, au cours de laquelle un flux de 3,8 téraoctets par seconde (2,14 milliards de paquets par seconde) a été dirigé vers le système de la victime. Il est à noter que l'attaque a été orchestrée en utilisant un grand nombre de routeurs domestiques compromis Asus et Mikrotik, ainsi que des dispositifs DVR et des serveurs web, piratés entre autres avec des vulnérabilités relativement récentes.

Source : opennet.ru