Un gruppo di ricercatori dell'Università di Pechino, dell'Università Tsinghua e dell'Università del Texas a Dallas una nuova classe di attacchi DoS — RangeAmp, basata sull'uso dell'intestazione HTTP per organizzare l'amplificazione del traffico attraverso le reti di distribuzione dei contenuti (CDN). Il metodo consiste nel fatto che, a causa della particolare gestione delle intestazioni Range in molte CDN, l'attaccante può richiedere tramite la CDN un byte di un grande file, ma la CDN scaricherà dall'apposito server l'intero file o un blocco di dati significativamente più grande per memorizzarlo nella cache. Il grado di amplificazione del traffico in un tale attacco, a seconda della CDN, varia da 724 a 43330 volte, il che può essere utilizzato per sovraccaricare il traffico in entrata della CDN o ridurre la larghezza di banda del canale finale verso il sito della vittima.
L'intestazione Range consente al cliente di specificare l'intervallo di posizioni in un file che devono essere caricate anziché restituire l'intero file. Ad esempio, il cliente può indicare «Range: bytes=0-1023» e il server trasmetterà solo i primi 1024 byte di dati. Questa possibilità è richiesta durante il download di file di grandi dimensioni: l'utente può sospendere il download e poi continuare da dove era rimasto. Specificando «bytes=0-0», lo standard prescrive di restituire il primo byte del file, «bytes=-1» il byte finale, «bytes=1-» a partire dal byte 1 fino alla fine del file. È consentito trasmettere più intervalli in un'unica intestazione, ad esempio «Range: bytes=0-1023,8192-10240».
È stata proposta inoltre una seconda variante di attacco mirata ad aumentare il carico di rete passando il traffico attraverso un'ulteriore CDN utilizzata come proxy (ad esempio, quando Cloudflare funge da frontend (FCDN) e Akamai da backend (BCDN)). Il metodo è simile al primo attacco, ma localizzato all'interno delle reti CDN e consente di amplificare il traffico quando si accede tramite altre CDN, aumentando il carico sull'infrastruttura e riducendo la qualità del servizio.
L'idea è che l'attaccante invii al CDN richieste Range di più intervalli, come "bytes=0-,0-,0-…", "bytes=1-,0-,0-…" o "bytes=-1024,0-,0-…". Le richieste contengono un gran numero di intervalli "0-", implicando la restituzione del file dalla posizione zero fino alla fine. A causa di un'implementazione errata dell'analisi degli intervalli quando il primo CDN si connette al secondo, per ogni intervallo "0-" viene restituito l'intero file (gli intervalli non vengono aggregati, ma vengono elaborati in sequenza), se nella richiesta inizialmente inviata dall'attaccante c'è duplicazione e sovrapposizione degli intervalli. Il grado di amplificazione del traffico in questo attacco varia da 53 a 7432 volte.
Nel corso della ricerca è stato analizzato il comportamento di 13 CDN —
Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath e Tencent Cloud. Tutti i CDN esaminati sono stati vulnerabili al primo tipo di attacco al server finale. Sei servizi sono stati colpiti dal secondo tipo di attacco ai CDN, di cui quattro possono partecipare all'attacco come frontend (CDN77, CDNsun, Cloudflare e StackPath) e tre come backend (Akamai, Azure e StackPath). L'amplificazione più alta è raggiunta in Akamai e StackPath, che consentono di specificare nell'intestazione Range più di diecimila intervalli. I proprietari dei CDN sono stati avvisati delle vulnerabilità circa 7 mesi fa e, al momento della divulgazione pubblica delle informazioni, 12 dei 13 CDN avevano risolto i problemi emersi o si erano dichiarati disponibili a farlo (solo il servizio StackPath non ha risposto).
Fonte: opennet.ru
