Il gruppo responsabile della sicurezza della rete di distribuzione dei contenuti Akamai ha identificato un ulteriore vettore di attacco al processo cups-browsed, oltre al suo utilizzo come uno dei link in un exploit che porta all'esecuzione di codice nel sistema. Inviando richieste al processo cups-browsed, che accetta connessioni sul porto 631 senza restrizioni, è possibile ottenere l'invio di dati a un altro host, con dimensioni che possono superare la richiesta originale fino a 600 volte. Per confronto, il coefficiente di amplificazione per memcached può raggiungere 10-50.000 volte, NTP - 556 volte, DNS - 28-54, RIPv2 - 21, SNMPv2 - 6.
Caratteristica simile consente di utilizzare i sistemi con cups-browsed come amplificatori di traffico durante gli attacchi DDoS. Il metodo di attacco basato sull'amplificatore di traffico prevede che le richieste dai computer coinvolti negli attacchi DDoS non siano dirette direttamente al sistema della vittima, ma passino attraverso un amplificatore di traffico intermedio. Durante la scansione della rete sono stati identificati più di 198.000 sistemi vulnerabili con CUPS, di cui il 34% (58.000 sistemi) si è dimostrato idoneo ad amplificare il traffico negli attacchi DDoS.
A differenza dei metodi di amplificazione del traffico che richiedono l'invio di pacchetti UDP con un indirizzo di ritorno falsificato della vittima, l'uso di cups-browsed consente di evitare lo spoofing. Il servizio cups-browsed ha la capacità nativa di caricare un file PPD da un'origine qualsiasi server in risposta a una richiesta esterna non autorizzata, durante la quale il client invia un URL e cups-browsed tenta di caricare il file PPD dal server specificato.
Quando viene inviata una richiesta per caricare il file PPD a cups-browsed, è possibile ottenere l'aggiunta di riempimento al valore "IPP URI", che può raggiungere 989 byte. In questo caso, nel tentativo avviato da cups-browsed, il valore "IPP URI" viene duplicato: una volta nell'intestazione HTTP e un'altra volta all'interno del corpo della richiesta POST, e le richieste vengono ripetute ciclicamente dopo tentativi di caricamento non riusciti e restituzione server di codice di errore 404.
Il 62% (35900) dei sistemi verificati ha inviato almeno 10 richieste TCP/IPP/HTTP al sistema attaccato in risposta a una singola richiesta UDP in uscita. In media, per 58000 sistemi vulnerabili, il numero di ripetizioni è stato di 45. In uno scenario ottimale, l'invio di una singola richiesta iniziale di 30 byte con 45 tentativi di caricamento risultrebbe in un invio di 18000 byte di dati al sistema target, il che comporterebbe un aumento del traffico di 600 volte. Nel peggior scenario, l'aumento sarebbe di 108 volte.
È inoltre possibile notare che la società Cloudflare ha mitigato un attacco DDoS record, durante il quale è stato diretto verso il sistema della vittima un flusso di 3,8 terabit al secondo (2,14 miliardi di pacchetti al secondo). Si segnala che l'attacco è stato orchestrato utilizzando un gran numero di router domestici compromessi Asus e Mikrotik, oltre a dispositivi DVR e server web, compromessi tra l'altro tramite vulnerabilità relativamente recenti.
Fonte: opennet.ru
