Onderzoekers van de universiteiten van Hamburg en Keulen
een nieuwe techniek voor aanvallen op content delivery netwerken en caching proxies ā (Cache-Poisoned Denial-of-Service). Deze aanval maakt het mogelijk om toegang tot een pagina te verhinderen door de cache te vervuilen.
Het probleem houdt verband met het feit dat CDN's niet alleen succesvolle verzoeken cachen, maar ook situaties waarin de http-server een fout retourneert. Gewoonlijk geeft de server bij problemen met het indienen van verzoeken een foutcode 400 (Bad Request) terug, met uitzondering van IIS, dat bij te grote headers een foutcode 404 (Not Found) retourneert. De standaard staat alleen het cachen van fouten met de codes 404 (Not Found), 405 (Method Not Allowed), 410 (Gone) en 501 (Not Implemented) toe, maar sommige CDN's cachen ook antwoorden met code 400 (Bad Request), die afhankelijk is van het verzonden verzoek.
Aanvallers kunnen op de oorspronkelijke bron een '400 Bad Request'-fout doen retourneren door een verzoek met specifiek opgemaakte HTTP-headers te verzenden. Deze headers worden niet door het CDN in acht genomen, waardoor informatie over het ontbreken van toegang tot de pagina in de cache terechtkomt, en alle andere correcte gebruikersverzoeken tot het verstrijken van de timeout kunnen leiden tot een foutmelding, hoewel de oorspronkelijke site zonder problemen inhoud levert.
Er worden drie aanvalsmethoden voorgesteld om de HTTP-server te dwingen een fout te retourneren:
- HMO (HTTP Method Override) ā de aanvaller kan de oorspronkelijke methode van het verzoek vervangen via de headers 'X-HTTP-Method-Override', 'X-HTTP-Method' of 'X-Method-Override', die door sommige servers worden ondersteund, maar niet in CDN's worden overwogen. Bijvoorbeeld, de oorspronkelijke 'GET'-methode kan worden veranderd in de verbroken servermethode 'DELETE' of een niet-toepasbare statische methode 'POST';
- HHO (HTTP Header Oversize) ā de aanvaller kan de grootte van de header zodanig aanpassen dat deze de limiet van de oorspronkelijke server overschrijdt, maar niet onder de beperkingen van het CDN valt. Bijvoorbeeld, Apache httpd beperkt de headergrootte tot 8 KB, terwijl CDN Amazon Cloudfront headers tot 20 KB toestaat;
- HMC (HTTP Meta Character) ā de aanvaller kan speciale tekens (\n, \r, \a) in het verzoek invoegen die als ongeldig worden beschouwd op de oorspronkelijke server, maar worden genegeerd in het CDN.
De meest kwetsbare aanval vond plaats bij CDN CloudFront, dat wordt gebruikt in Amazon Web Services (AWS). Op dit moment heeft Amazon het probleem al opgelost door fouten in de cache te verbieden, maar de onderzoekers hadden meer dan drie maanden nodig om beveiliging toe te voegen. Het probleem heeft ook invloed gehad op Cloudflare, Varnish, Akamai, CDN77 en
Fastly, maar de aanval via hen is beperkt tot specifieke servers die IIS, ASP.NET gebruiken, en . , wat betekent dat tot 11% van de domeinen van het Amerikaanse ministerie van Defensie, 16% van de URL's uit de HTTP Archive-database en ongeveer 30% van de 500 grootste websites volgens Alexa potentieel kwetsbaar kunnen zijn voor de aanval.
Als een tijdelijke oplossing om de aanval aan de zijde van de website te blokkeren, kan de header "Cache-Control: no-store" worden ingesteld om het cachen van antwoorden te verbieden. In sommige CDN's, zoals
CloudFront en Akamai, kan foutcaching op profielniveau worden uitgeschakeld via de instellingen. Voor bescherming kunnen ook webapplicatie-firewalls (WAF) worden gebruikt, maar ze moeten aan de kant van de CDN worden geĆÆmplementeerd, vĆ³Ć³r de hosts die cacheren.
Bron: opennet.ru
