I ricercatori dell'Università di Boston un metodo di attacco
(CVE-2019-11728), per eseguire la scansione degli indirizzi IP e delle porte di rete aperte all'interno della rete interna dell'utente, isolata dalla rete esterna tramite un firewall, o sul sistema corrente (localhost). L'attacco può essere effettuato aprendo nel browser una pagina opportunamente formattata. La tecnica proposta si basa sull'uso dell'intestazione HTTP (HTTP Alternate Services, ). Il problema si manifesta in Firefox, Chrome e nei browser basati sui loro motori, incluso Tor Browser e Brave.
L'intestazione Alt-Svc consente al server di definire un modo alternativo per accedere al sito e di istruire il browser sulla necessità di reindirizzare la richiesta a un nuovo host, ad esempio, per il bilanciamento del carico. È anche possibile specificare una porta di rete per il forward, ad esempio, specificare 'Alt-Svc: http/1.1="other.example.com:443";ma=200' istruisce il client a connettersi all'host other.example.org per ricevere la pagina richiesta, utilizzando la porta di rete 443 e il protocollo HTTP/1.1. Il parametro 'ma' definisce il tempo massimo di validità del reindirizzamento. Oltre a HTTP/1.1, sono supportati anche i protocolli HTTP/2-over-TLS (h2), HTTP/2-over plain text (h2c), SPDY(spdy) e QUIC (quic), che utilizza UDP.
Per scansionare gli indirizzi, il sito dell'attaccante può iterare sequenzialmente attraverso gli indirizzi della rete interna e le porte di rete, utilizzando come indice il ritardo tra le richieste ripetute.
Nel caso in cui la risorsa reindirizzata non sia disponibile, il browser riceve immediatamente un pacchetto RST e segna subito il servizio alternativo come non disponibile, azzerando il tempo di vita del reindirizzamento specificato nella richiesta.
Se la porta di rete è aperta, ci vorrà più tempo per completare la connessione (verrà effettuato un tentativo di stabilire una connessione con il corrispondente scambio di pacchetti) e il browser non reagirà immediatamente.
Per ottenere informazioni sulla verifica, l'attaccante può immediatamente reindirizzare l'utente a una seconda pagina, che nell'intestazione Alt-Svc farà riferimento a un'host operante dell'attaccante. Se il browser del cliente invia una richiesta a questa pagina, si può considerare che il reindirizzamento della prima richiesta Alt-Svc sia scaduto e l'host e la porta verificati non siano disponibili. Se non c'è stato alcun seguito nella richiesta, significa che i dati sul primo reindirizzamento non sono ancora scaduti e la connessione è stata stabilita.
Il metodo indicato consente anche di verificare le porte di rete che sono state inserite nella blacklist del browser, come le porte dei server di posta. L'attacco funzionante è stato preparato utilizzando un'inclusione di iframe nel traffico della vittima e applicando il protocollo HTTP/2 in Alt-Svc per Firefox e QUIC per la scansione delle porte UDP in Chrome. Nel Tor Browser, l'attacco non può essere applicato nel contesto di una rete interna e localhost, ma è adatto per organizzare una scansione nascosta di host esterni attraverso un nodo di uscita Tor. Il problema della scansione delle porte è già in Firefox 68.
L'intestazione Alt-Svc può essere applicata anche:
- Nell'organizzazione di attacchi DDoS. Ad esempio, per TLS, un reindirizzamento può fornire un livello di amplificazione di 60 volte, poiché la richiesta iniziale del cliente occupa 500 byte, mentre la risposta con il certificato è di circa 30 KB. Generando tali richieste in un ciclo su molteplici sistemi client, è possibile esaurire le risorse di rete disponibili al server;
- Per eludere i meccanismi di protezione contro il phishing e il malware forniti da servizi come Safe Browsing (il reindirizzamento a un host malevolo non provoca un avviso);
- Per monitorare il movimento dell'utente. Il metodo consiste nell'inclusione di un iframe, che fa riferimento in Alt-Svc a un processore esterno per il tracciamento delle movimenti, il cui richiamo avviene senza riguardo per l'attivazione di strumenti di protezione dai tracker. È possibile anche monitorare a livello dei provider utilizzando in Alt-Svc un identificatore unico (IP:porta casuale come identificatore) con la sua successiva analisi nel traffico di transito;
- Per estrarre informazioni sulla storia dei movimenti. Inserendo sulla propria pagina un iframe con una richiesta di immagine da un sito specificato che utilizza Alt-Svc e analizzando lo stato di Alt-Svc nel traffico, un attaccante in grado di analizzare il traffico di transito può dedurre che l'utente ha visitato in precedenza il sito indicato;
- Rumore nei log dei sistemi di rilevamento delle intrusioni. Tramite Alt-Svc è possibile generare una serie di richieste a sistemi malevoli a nome dell'utente, creando l'illusione di attacchi falsi per nascondere il reale volume di informazioni su un attacco effettivo.
Fonte: opennet.ru
