Un gruppo di ricercatori della Università di Pechino, dell'Università Tsinghua e dell'Università del Texas a Dallas una nuova classe di attacchi DoS — RangeAmp, basata sull'uso dell'intestazione HTTP per organizzare l'amplificazione del traffico attraverso le reti di distribuzione dei contenuti (CDN). L'essenza del metodo è che, a causa della particolare gestione delle intestazioni Range in molte CDN, l'attaccante può richiedere tramite la CDN un byte di un grande file, ma la CDN caricherà dal server di destinazione l'intero file o un blocco di dati significativamente più grande da memorizzare nella cache. Il grado di amplificazione del traffico in questo tipo di attacco, a seconda della CDN, varia da 724 a 43330 volte, il che può essere utilizzato per sovraccaricare il traffico in entrata della CDN o ridurre la larghezza di banda del canale di comunicazione finale verso il sito della vittima.
L'intestazione Range consente al cliente di specificare l'intervallo di posizioni in un file da scaricare invece di restituire l'intero file. Ad esempio, il cliente può specificare "Range: bytes=0-1023" e il server restituirà solo i primi 1024 byte di dati. Questa possibilità è utile per scaricare file di grandi dimensioni: l'utente può sospendere il download e poi riprenderlo dalla posizione interrotta. Specificando "bytes=0-0", lo standard prevede di restituire il primo byte del file; "bytes=-1" — l'ultimo; "bytes=1-" — a partire dal byte 1 fino alla fine del file. È possibile specificare più intervalli in un'unica intestazione, ad esempio "Range: bytes=0-1023,8192-10240".
È stata anche proposta una seconda variante di attacco, mirata ad aumentare il carico di rete indirizzando il traffico attraverso un'altra CDN che funge da proxy (ad esempio, quando Cloudflare è il frontend (FCDN) e Akamai il backend (BCDN)). Il metodo è simile al primo attacco, ma si localizza all'interno delle reti CDN e consente di amplificare il traffico quando ci si rivolge ad altre CDN, aumentando il carico sull'infrastruttura e riducendo la qualità del servizio.
L'idea è che l'attaccante invia alla CDN richieste Range di più intervalli, come "bytes=0-,0-,0-…", "bytes=1-,0-,0-…" o "bytes=-1024,0-,0-…". Le richieste contengono un gran numero di intervalli "0-", implicando la restituzione del file dalla posizione zero fino alla fine. A causa di una implementazione errata del parsing degli intervalli quando il primo CDN si rivolge al secondo, per ogni intervallo "0-" viene restituito l'intero file (gli intervalli non vengono aggregati, ma esaminati sequenzialmente) se nella richiesta originariamente inviata dall'attaccante vi è duplicazione e sovrapposizione degli intervalli. Il grado di amplificazione del traffico in questo tipo di attacco varia da 53 a 7432 volte.
Durante la ricerca è stato esaminato il comportamento di 13 CDN —
Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath e Tencent Cloud. Tutte le CDN esaminate erano vulnerabili al primo tipo di attacco al server finale. Sei servizi sono stati vulnerabili al secondo tipo di attacco alle CDN, di cui quattro possono fungere da frontend (CDN77, CDNsun, Cloudflare e StackPath) e tre da backend (Akamai, Azure e StackPath). Il maggiore grado di amplificazione si ottiene con Akamai e StackPath, che consentono di specificare più di 10.000 intervalli nell'intestazione Range. I proprietari delle CDN sono stati informati delle vulnerabilità circa 7 mesi fa e, al momento della divulgazione pubblica delle informazioni, 12 delle 13 CDN avevano risolto i problemi identificati o espresso disponibilità a risolverli (solo il servizio StackPath non ha risposto).
Fonte: opennet.ru
