RangeAmp - Range HTTP 헤더를 조작하는 일련의 CDN 공격

북경대학교, 칭화대학교, 텍사스대학교 댈러스 연구팀 노출된 새로운 유형의 DoS 공격 - HTTP 헤더 사용을 기반으로 하는 RangeAmp 범위 CDN(콘텐츠 전송 네트워크)을 통해 트래픽 증폭을 구성합니다. 이 방법의 핵심은 Range 헤더가 많은 CDN에서 처리되는 방식으로 인해 공격자가 CDN을 통해 대용량 파일에서 724바이트를 요청할 수 있지만 CDN은 CDN에서 전체 파일 또는 훨씬 더 큰 데이터 블록을 다운로드한다는 것입니다. 캐시에 배치할 대상 서버입니다. 이러한 공격 중 트래픽 증폭 정도는 CDN에 따라 43330~XNUMX배에 달하며, 이는 들어오는 트래픽으로 CDN에 과부하를 주거나 피해자 사이트에 대한 최종 통신 채널의 용량을 줄이는 데 사용될 수 있습니다.

Range 헤더는 클라이언트에게 전체 파일을 반환하는 대신 다운로드해야 하는 파일의 위치 범위를 지정할 수 있는 기능을 제공합니다. 예를 들어, 클라이언트는 "Range: bytes=0-1023"을 지정할 수 있으며 서버는 데이터의 처음 1024바이트만 전송합니다. 이 기능은 대용량 파일을 다운로드할 때 필요합니다. 사용자는 다운로드를 일시 중지한 다음 중단된 위치에서 계속할 수 있습니다. "bytes=0-0"을 지정할 때 표준은 파일의 첫 번째 바이트, "bytes=-1" - 마지막 바이트, "bytes=1-" - 1바이트부터 파일 끝까지 제공하도록 지시합니다. 하나의 헤더에 여러 범위를 전송할 수 있습니다(예: "Range: bytes=0-1023,8192-10240").

또한 프록시로 사용되는 다른 CDN을 통해 트래픽을 전달할 때 네트워크 부하를 증가시키는 것을 목표로 하는 두 번째 공격 옵션이 제안되었습니다(예: Cloudflare가 프런트엔드(FCDN) 역할을 하고 Akamai가 백엔드 역할을 하는 경우) BCDN). 이 방법은 첫 번째 공격과 유사하지만 CDN 네트워크 내에 국한되어 있으며 다른 CDN을 통해 액세스할 때 트래픽 증가를 허용하여 인프라 부하를 증가시키고 서비스 품질을 저하시킵니다.

아이디어는 공격자가 "bytes=0-,0-,0-...", "bytes=1-,0-,0-..." 또는 "bytes=1024,0-,0-,0-..."과 같은 여러 범위의 Range 요청을 CDN에 보내는 것입니다. "바이트=-0-,53-...". 요청에는 다수의 "7432-" 범위가 포함되어 있으며 이는 파일이 위치 XNUMX에서 끝까지 반환됨을 의미합니다. 범위 구문 분석의 잘못된 구현으로 인해 첫 번째 CDN이 두 번째 CDN에 액세스할 때 범위의 중복 및 교차가 있는 경우 각 "XNUMX-" 범위(범위는 집계되지 않고 순차적으로 반복됨)에 대해 전체 파일이 전송됩니다. 공격자가 처음에 보낸 요청입니다. 이러한 공격의 트래픽 증폭 정도는 XNUMX~XNUMX배입니다.

연구 기간 동안 13개 CDN의 동작이 연구되었습니다.
Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath 및 Tencent Cloud. 조사된 모든 CDN은 최종 서버에 대한 첫 번째 유형의 공격을 허용했습니다. CDN 공격의 두 번째 변종은 6개 서비스에 영향을 미쳤으며, 그 중 77개는 공격에서 프런트엔드 역할을 할 수 있었고(CDN10, CDNsun, Cloudflare 및 StackPath) 7개는 백엔드 역할을 했습니다(Akamai, Azure 및 StackPath). Range 헤더에 12개 이상의 범위를 지정할 수 있는 Akamai 및 StackPath에서 가장 큰 이득을 얻었습니다. CDN 소유자는 약 13개월 전에 취약점에 대해 통보받았으며, 정보가 공개될 때까지 XNUMX개 CDN 중 XNUMX개는 확인된 문제를 해결했거나 해결할 준비가 되어 있었습니다(StackPath 서비스만 응답하지 않았습니다).

출처 : opennet.ru