CPDoS árás til að gera síður sem þjónað er í gegnum CDN ótiltækar

Vísindamenn frá háskólanum í Hamborg og Köln
þróað ný árásartækni á efnisafhendingarnet og skyndiminni umboð - CPDoS (Cache-Poisoned Denial-of-Service). Árásin gerir kleift að meina aðgangi að síðu með skyndiminnieitrun.

Vandamálið stafar af þeirri staðreynd að skyndiminni CDNs geymir ekki aðeins beiðnir með góðum árangri, heldur einnig aðstæður þegar http þjónninn skilar villu. Að jafnaði, ef það eru vandamál með að mynda beiðnir, gefur þjónninn út 400 (Bad Request) villu; eina undantekningin er IIS, sem gefur út 404 (Not Found) villu fyrir of stóra hausa. Staðallinn leyfir aðeins að villur með kóðanum 404 (finnist ekki), 405 (aðferð ekki leyfð), 410 (farin) og 501 (ekki útfærð) séu vistuð í skyndiminni, en sum CDN vista einnig svör með kóða 400 (slæm beiðni), sem fer eftir á sendri beiðni.

Árásarmenn geta valdið því að upprunalega tilföngin skili „400 Bad Request“ villu með því að senda beiðni með HTTP hausum sem eru sniðnir á ákveðinn hátt. CDN tekur ekki tillit til þessara hausa, þannig að upplýsingar um vanhæfni til að fá aðgang að síðunni verða í skyndiminni og allar aðrar gildar notendabeiðnir áður en fresturinn rennur út geta leitt til villu, þrátt fyrir að upprunalega vefsíðan þjóni innihaldinu án vandræða.

Þrír árásarvalkostir hafa verið lagðir til til að þvinga HTTP netþjóninn til að skila villu:

• HMO (HTTP Method Override) - árásarmaður getur hnekkt upprunalegu beiðniaðferðinni í gegnum "X-HTTP-Method-Override", "X-HTTP-Method" eða "X-Method-Override" hausana, studdir af sumum netþjónum, en ekki tekið tillit til í CDN. Til dæmis geturðu breytt upprunalegu „GET“ aðferðinni í „DELETE“ aðferðina, sem er bönnuð á þjóninum, eða „POST“ aðferðina, sem á ekki við um truflanir;
  

• HHO (HTTP Header Oversize) - árásarmaður getur valið hausstærðina þannig að hún fari yfir mörk upprunaþjónsins, en falli ekki innan CDN takmarkana. Til dæmis, Apache httpd takmarkar hausstærðina við 8 KB og Amazon Cloudfront CDN leyfir hausa allt að 20 KB;
  

• HMC (HTTP Meta Character) - árásarmaður getur sett sérstaka stafi inn í beiðnina (\n, \r, \a), sem eru taldir ógildir á upprunaþjóninum, en eru hunsaðir í CDN.
  

Viðkvæmust fyrir árásum var CloudFront CDN notað af Amazon Web Services (AWS). Amazon hefur nú lagað vandamálið með því að slökkva á villuskyndiminni, en það tók vísindamenn meira en þrjá mánuði að bæta við vernd. Málið hafði einnig áhrif á Cloudflare, Varnish, Akamai, CDN77 og
Hratt, en árásin í gegnum þá er takmörkuð við miðþjóna sem nota IIS, ASP.NET, Flaskan и Spilaðu 1. Það er tekið fram, að 11% af lénum bandaríska varnarmálaráðuneytisins, 16% vefslóða úr HTTP skjalasafninu og um 30% af efstu 500 vefsíðunum sem Alexa raðaði gætu hugsanlega orðið fyrir árás.

Sem lausn til að koma í veg fyrir árás á síðuna geturðu notað „Cache-Control: no-store“ hausinn, sem bannar skyndiminni svars. Í sumum CDN, t.d.
CloudFront og Akamai, þú getur slökkt á villuskyndiminni á prófílstillingarstigi. Til verndar er einnig hægt að nota eldveggi vefforrita (WAF, Web Application Firewall), en þeir verða að vera útfærðir á CDN hlið fyrir framan skyndiminni vélarnar.

Heimild: opennet.ru