Il Centro di coordinamento CERT (Computer Emergency Response Team) ha pubblicato un avviso riguardante una serie di vulnerabilità nelle implementazioni di vari protocolli applicativi che utilizzano il protocollo UDP come trasporto. Le vulnerabilità possono essere sfruttate per provocare un'interruzione del servizio a causa di un possibile ciclo infinito nello scambio di pacchetti tra due host. Ad esempio, gli aggressori possono esaurire la larghezza di banda disponibile della rete, bloccare il funzionamento dei servizi di rete (ad esempio, creando un carico elevato e superando il limite di intensità delle richieste) e realizzare amplificatori di traffico per attacchi DDoS.
Tra i protocolli le cui implementazioni sono vulnerabili ci sono DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) e QOTD (RFC865). La presenza della vulnerabilità (CVE-2024-2169) è stata confermata in specifici prodotti delle aziende Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) e MikroTik. Come misure di mitigazione per bloccare le vulnerabilità, si raccomanda di attivare sul firewall il blocco dello spoofing (uRPF), limitare l'accesso ai servizi UDP non necessari e configurare una limitazione dell'intensità del traffico (rate-limit e QoS).
Le vulnerabilità sono causate dalla mancanza di protezione del protocollo UDP contro lo spoofing degli indirizzi: in assenza di protezioni anti-spoofing sui router di transito, un aggressore può indicare in un pacchetto UDP un indirizzo IP di un server arbitrario e inviare quel pacchetto a un altro server, che restituisce una risposta all'indirizzo falso fornito. Il metodo di attacco consiste nel creare una situazione di ciclo infinito nello scambio di pacchetti tra server che usano implementazioni vulnerabili del protocollo. Ad esempio, in risposta a un pacchetto in arrivo, il server target può inviare una risposta con un codice di errore, mentre il server il cui indirizzo è stato fornito dall'aggressore restituirà la sua risposta, che in cambio porterà ancora al ritorno di un pacchetto con codice di errore. In questo modo, servers inizieranno a giocare all'infinito a ping-pong con i pacchetti.
È notevole che questo metodo di attacco non sia nuovo e in server La sincronizzazione dell'orologio NTPD è stata colpita da un attacco che è stato risolto nel 2009 (CVE-2009-3563) nelle versioni 4.2.4p8 e 4.2.5. L'attacco consisteva nell'invio di un pacchetto NTP con un indirizzo falsificato e con il flag MODE_PRIVATE attivato, il quale, durante l'elaborazione, portava il server di destinazione a restituire una risposta che informava dell'impossibilità di utilizzare la modalità privata, mantenendo però il flag MODE_PRIVATE attivato nella risposta. Di conseguenza, un altro server non poteva elaborare quel flag e restituiva la propria risposta, il che portava a un ciclo infinito nel scambio di pacchetti tra i due server NTP. Per il protocollo DNS, un avviso riguardo alla possibilità di un attacco simile è stato pubblicato già nel 1996.
Una scansione globale degli indirizzi su Internet ha rivelato che attualmente sono presenti almeno 23.000 server TFTP vulnerabili, 63.000 server DNS, 89.000 server NTP, 56.000 servizi Echo/RFC862, 22.000 servizi Chargen/RFC864 e 21.000 servizi QOTD/RFC865. Si presume che nel caso dei server NTP, la presenza di vulnerabilità non corretta sia dovuta all'utilizzo di versioni molto obsolete di ntpd, rilasciate prima del 2010. I servizi Echo, Chargen e QOTD sono vulnerabili per la loro architettura intrinseca. La situazione con i server TFTP e DNS richiede un intervento da parte dei loro amministratori. I server atftpd e tftpd non sono affetti dal problema, poiché utilizzano un numero casuale di porta di rete sorgente quando inviano la risposta. Tra i server DNS vulnerabili, si cita dproxy-nexgen. Nei prodotti Microsoft, il problema si manifesta in WDS (Windows Deployment Services), mentre nei prodotti Cisco è presente nei router delle serie 2800 e 2970.
Fonte: opennet.ru
