Il gruppo responsabile della sicurezza della rete di distribuzione dei contenuti Akamai ha identificato un ulteriore vettore di attacco sul processo cups-browsed, oltre al suo utilizzo come uno dei legami in un exploit che porta all'esecuzione di codice nel sistema. Attraverso l'invio di richieste al processo cups-browsed, che accetta connessioni senza limitazioni sulla porta 631, è possibile inviare dati a un altro host, il cui volume può superare la richiesta iniziale di 600 volte. A titolo di paragone, il coefficiente di amplificazione per memcached può raggiungere 10-50 mila volte, NTP - 556 volte, DNS - 28-54, RIPv2 - 21, SNMPv2 - 6.
Questa peculiarità consente di utilizzare i sistemi con cups-browsed come amplificatori di traffico durante gli attacchi DDoS. Il metodo di attacco che utilizza un amplificatore di traffico si basa sul fatto che le richieste dai computer coinvolti negli attacchi DDoS non vengono inviate direttamente al sistema vittima, ma attraverso un amplificatore di traffico intermedio. Durante la scansione della rete sono state identificate oltre 198.000 sistemi vulnerabili con CUPS, dei quali il 34% (58.000 sistemi) si sono rivelati idonei per l'amplificazione del traffico in un attacco DDoS.
A differenza dei metodi di amplificazione del traffico che richiedono l'invio di pacchetti UDP con un indirizzo di ritorno falsificato della vittima, l'uso di cups-browsed consente di evitare lo spoofing. Il servizio cups-browsed ha la capacità nativa di caricare un file PPD da un URL specificato. server In risposta a una richiesta esterna non autorizzata, durante la quale il cliente trasmette un URL, cups-browsed tenta di caricare il file PPD dal server specificato.
Quando si invia una richiesta per caricare un file PPD in cups-browsed, si può ottenere un'inclusione nel valore "IPP URI" che può raggiungere 989 byte. In questo caso, nel riferimento avviato da cups-browsed, il valore "IPP URI" viene duplicato: una volta nell'intestazione HTTP e un'altra volta nel corpo della richiesta POST, e le richieste vengono ripetute ciclicamente dopo tentativi non riusciti di caricamento e restituzione di server un codice di errore 404.
Nel 62% (35.900) dei sistemi controllati, cups-browsed ha inviato almeno 10 richieste TCP/IPP/HTTP al sistema attaccato in risposta a una singola richiesta UDP. In media, per le 58.000 strutture affette dal problema, il numero di richieste ripetute è stato di 45. In uno scenario ottimale, l'invio di una singola richiesta iniziale di 30 byte con 45 tentativi ripetuti di caricamento porterà a inviare 18.000 byte di dati al sistema target, ossia un'amplificazione del traffico di 600 volte. Nel peggiore dei casi, l'amplificazione è di 108 volte.
Si può inoltre notare il riflesso della compagnia Cloudflare durante un attacco DDoS record, in cui è stato indirizzato un flusso di 3,8 terabit al secondo (2,14 miliardi di pacchetti al secondo) verso il sistema vittima. Si segnala che l'attacco è stato organizzato utilizzando un gran numero di router domestici compromessi Asus e Mikrotik, oltre a DVR e server web, violati tra l'altro mediante vulnerabilità relativamente nuove.
Fonte: opennet.ru
