A CERT coordination center (computer emergency response team) has issued a warning about a series of vulnerabilities in implementations of various application protocols using UDP as a transport protocol. These vulnerabilities can be exploited to create denial-of-service attacks due to the possibility of packet exchange looping between two hosts. For example, attackers could exhaust the available bandwidth of the network, disrupt the functioning of network services (for instance, through high traffic loads that exceed request intensity limits), and implement traffic amplifiers for DDoS attacks.
Protocols with some implementations vulnerable to these threats include DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864), and QOTD (RFC865). The presence of the vulnerability (CVE-2024-2169) has been confirmed in specific products from Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309), and MikroTik. To mitigate the vulnerabilities, it is recommended to enable anti-spoofing measures (uRPF) on firewalls, restrict access to unnecessary UDP services, and set up traffic intensity limits (rate-limit and QoS).
The vulnerabilities arise from the lack of protection in the UDP protocol against address spoofing—without anti-spoofing protections on transit routers, an attacker can specify a random server's IP address in the UDP packet and send this packet to another server, which will then respond to the specified fake address. The attack method essentially creates a looping packet exchange situation between servers executing the vulnerable implementations of the protocol. For example, in response to an incoming packet, the target server might send a response with an error code, while the server address substituted by the attacker would return its response, which would again lead to a packet with an error code being returned. Thus, szerverek they would continue to exchange packets in an endless "ping-pong".
Notably, this type of attack method is not new and has szerveren Az NTPD időszinkronizálás egyik támadási lehetőségét 2009-ben (CVE-2009-3563) már orvosolták az 4.2.4p8 és 4.2.5 verziókban. A támadás során egy hamis címmel és MODE_PRIVATE flaggel ellátott NTP-csomagot küldtek, aminek feldolgozása során a célkiszolgáló visszaigazolta, hogy nem lehetséges a privát mód használata, de a MODE_PRIVATE flag továbbra is aktív maradt a válaszban. Ennek következtében egy másik kiszolgáló sem tudta feldolgozni ezt a flaget, és válaszolt, ami ciklikus csomagcserét eredményezett a két NTP-kiszolgáló között. A DNS protokoll esetében a hasonló támadások lehetőségéről szóló figyelmeztetést 1996-ban tették közzé.
A globális internet címszkennelés során kiderült, hogy jelenleg legalább 23 ezer sebezhető TFTP-kiszolgáló, 63 ezer DNS-kiszolgáló, 89 ezer NTP-kiszolgáló, 56 ezer Echo/RFC862 szolgáltatás, 22 ezer Chargen/RFC864 szolgáltatás és 21 ezer QOTD/RFC865 szolgáltatás található a hálózaton. Feltételezzük, hogy az NTP-kiszolgálók esetében a nem javított sebezhetőség a 2010 előtt kiadott nagyon régi ntpd verziók használatával áll összefüggésben. Az Echo, Chargen és QOTD szolgáltatások eredendően sebezhetőek architektúrájuk miatt. A TFTP és DNS szerverek helyzete adminisztrációs intézkedéseket igényel. Az atftpd és tftpd szerverek nem érintettek a problémában, mivel véletlenszerű forrásport számot használnak válasz küldésekor. Az sebezhető DNS-kiszolgálók között említést nyer a dproxy-nexgen. A Microsoft termékeiben a probléma a WDS (Windows Deployment Services) során jelentkezik, míg a Cisco termékeinél a 2800 és 2970 sorozatú routereknél.
Forrás: opennet.ru
