Az Akamai tartalomkézbesítési hálózat biztonságáért felelős csoportja további támadási vektort tárt fel a cups-browsed folyamatban, ezen kívül, hogy az egyike a kód végrehajtásához vezető kihasználások láncszemeinek. A cups-browsed folyamatba a 631-es porton korlátozás nélkül kapcsolódó kérések küldésével olyan adatokat lehet küldeni egy másik hosztra, amelyek mérete akár 600-szorosára is nőhet az eredeti kéréshez képest. Összehasonlításul a memcached erősítési aránya elérheti a 10-50 ezer szeresét, az NTP 556-szoros, a DNS 28-54, a RIPv2 21, az SNMPv2 pedig 6.
Ez a funkcionalitás lehetővé teszi, hogy a cups-browsed folyamatok forgalomnövelőként működjenek DDoS-támadások során. A forgalomnövelő támadási módszer lényege, hogy a DDoS-támadásban részt vevő gépek által küldött kérések nem közvetlenül a célrendszer felé irányulnak, hanem egy közbülső forgalomnövelőn keresztül. A hálózat szkennelése során több mint 198 ezer sebezhető CUPS rendszer került elő, amelyek közül 34% (58 ezer rendszer) alkalmas volt a DDoS-támadások során történő forgalomnövelésre.
A forgalomnövelő módszerektől eltérően, amelyek hamisított visszafelé irányuló címzettel küldenek UDP-csomagokat, a cups-browsed használata lehetővé teszi a spoofing elkerülését. A cups-browsed szolgáltatás alapértelmezett lehetőséggel bír PPD-fájl letöltésére tetszőleges helyről. a szerver válaszul egy jogosulatlan külső kérésre, amely során az ügyfél URL-t küld, és a cups-browsed megpróbálja letölteni a PPD-fájlt a megadott szerverről.
A PPD-fájl letöltésére irányuló kérés nemcsak, hogy 989 bájt hozzáadott kitöltést érhet el az „IPP URI” értékhez. Ekkor a kezdeményezett cups-browsed hívásban az „IPP URI” értéke megjelenik – egyszer a HTTP-fejlécben, másodszor pedig a POST kérés törzsében, és a kérések ciklikusan megismétlődnek a letöltési kísérletek hibás visszatérését követően. szerverrel 404-es hiba kód.
A 62%-os (35900) ellenőrzött rendszer közül a cups-browsed legalább 10 TCP/IPP/HTTP-kérést küldött a célzott rendszer felé egyetlen alap UDP-kérésre válaszként. Az átlagos szám 58000 problémának kitett rendszer esetén 45 ismételt megkeresést jelentett. Optimális körülmények között egy 30 bájtos alap kérelem 45 ismételt megkísérlésével 18000 bájt adatot küld a célállomásra, azaz 600-szoros forgalomnövekedés tapasztalható. A legrosszabb esetben a forgalomnövekedés 108-szoros.
További megjegyzés, hogy a Cloudflare rekord méretű DDoS-támadást hárított el, amely során a célrendszer felé 3.8 terabit/másodperces (2.14 milliárd csomag/másodperc) forgalmat irányítottak. Megjegyzik, hogy a támadást számos kompromittált Asus és Mikrotik otthoni router, valamint más, viszonylag friss sebezhetőségeket kihasználva feltört DVR-eszközök és webszervers végrehajtásával szervezték meg.
Forrás: opennet.ru
