Il Centro di Coordinamento CERT (Computer Emergency Response Team) ha pubblicato un avviso riguardante una serie di vulnerabilità nelle implementazioni di vari protocolli applicativi che utilizzano il protocollo UDP come trasporto. Le vulnerabilità possono essere sfruttate per effettuare attacchi di Denial of Service a causa della possibilità di un ciclo infinito nel trasferimento di pacchetti tra due host. Ad esempio, gli aggressori possono esaurire la larghezza di banda disponibile, bloccando il funzionamento dei servizi di rete (per esempio, generando un elevato carico e superando il limite di intensità delle richieste) e realizzando amplificatori di traffico per attacchi DDoS.
Tra i protocolli, alcune implementazioni vulnerabili includono DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) e QOTD (RFC865). La vulnerabilità (CVE-2024-2169) è stata confermata in alcuni prodotti delle aziende Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) e MikroTik. Come misure di mitigazione per bloccare le vulnerabilità, si raccomanda di abilitare sul firewall il blocco dello spoofing (uRPF), limitare l'accesso ai servizi UDP non necessari e configurare un limite di intensità del traffico (rate-limit e QoS).
Le vulnerabilità sono causate dalla mancanza di protezione del protocollo UDP contro lo spoofing degli indirizzi: in assenza di meccanismi di difesa contro lo spoofing sui router di transito, un attaccante può specificare un indirizzo IP arbitrario di un server nel pacchetto UDP e inviare questo pacchetto a un altro server, che restituirà una risposta all'indirizzo falsificato. Il metodo di attacco consiste nel creare una situazione di loop di scambio di pacchetti tra server che utilizzano implementazioni vulnerabili del protocollo. Per esempio, in risposta a un pacchetto ricevuto, il server obiettivo potrebbe inviare una risposta con un codice di errore, mentre il server il cui indirizzo è stato inserito dall'attaccante restituirà la sua risposta, che porterà nuovamente all'invio di un pacchetto con un codice di errore. In questo modo, server inizieranno a giocare pacchetti a «ping-pong» all'infinito.
È interessante notare che questo metodo di attacco non è nuovo e server La sincronizzazione del tempo NTPD ha visto una delle sue vulnerabilità eliminate già nel 2009 (CVE-2009-3563) nelle versioni 4.2.4p8 e 4.2.5. L'attacco consisteva nell'inviare un pacchetto NTP con un indirizzo falsificato e con il flag MODE_PRIVATE attivato, il quale, quando elaborato, faceva sì che il server di destinazione restituisse una risposta sull'impossibilità di utilizzare la modalità privata, mantenendo attivo il flag MODE_PRIVATE. Di conseguenza, un altro server non poteva gestire questo flag e restituiva la propria risposta, portando a un ciclo infinito di scambi di pacchetti tra i due server NTP. Per il protocollo DNS, un avviso riguardante la possibilità di questo tipo di attacco è stato pubblicato già nel 1996.
Una scansione globale degli indirizzi Internet ha mostrato che attualmente ci sono almeno 23.000 server TFTP vulnerabili, 63.000 server DNS, 89.000 server NTP, 56.000 servizi Echo/RFC862, 22.000 servizi Chargen/RFC864 e 21.000 servizi QOTD/RFC865. Si presume che, nel caso dei server NTP, la presenza di vulnerabilità non corrette sia legata all'uso di versioni molto vecchie di ntpd, rilasciate prima del 2010. I servizi Echo, Chargen e QOTD sono vulnerabili per la loro architettura intrinseca. La situazione dei server TFTP e DNS richiede chiarimenti con i loro amministratori. I server atftpd e tftpd non sono affetti, poiché utilizzano un numero casuale di porta di rete di origine per inviare una risposta. Tra i server DNS vulnerabili, viene menzionato dproxy-nexgen. Nei prodotti Microsoft, il problema si manifesta nei WDS (Windows Deployment Services), mentre nei prodotti Cisco è presente nei router delle serie 2800 e 2970.
Fonte: opennet.ru
