De groep die verantwoordelijk is voor de beveiliging van het Akamai-contentdeliverynetwerk, heeft een extra aanvalsvector op het cups-browsed-proces geĆÆdentificeerd, naast het gebruik ervan als een van de schakels in een exploit die leidt tot code-uitvoering op het systeem. Door verzoeken naar het cups-browsed-proces te sturen, dat verbindingen zonder beperkingen accepteert op poort 631, kan men gegevens naar een andere host verzenden, met een grootte die het oorspronkelijke verzoek tot 600 keer overtreft. Ter vergelijking kan de versterkingsfactor voor memcached oplopen tot 10-50 duizend keer, NTP - 556 keer, DNS - 28-54 keer, RIPv2 - 21 keer, en SNMPv2 - 6 keer.
Deze eigenschap maakt het mogelijk om systemen met cups-browsed te gebruiken als verkeersversterker bij het uitvoeren van DDoS-aanvallen. De aanvalsmethode met een verkeersversterker is gebaseerd op het feit dat verzoeken van computers die deelnemen aan DDoS-aanvallen niet rechtstreeks naar het doelwit systeem worden gestuurd, maar via een tussenliggende verkeersversterker. Tijdens het scannen van het netwerk zijn meer dan 198.000 kwetsbare systemen met CUPS ontdekt, waarvan 34% (58.000 systemen) geschikt bleek te zijn voor verkeersversterking in DDoS-aanvallen.
In tegenstelling tot methoden voor verkeersversterking die het verzenden van UDP-pakketten met een vervalst terugadres van het slachtoffer vereisen, maakt het gebruik van cups-browsed het mogelijk om zonder spoofing te werken. De cups-browsed-service heeft een gebonden mogelijkheid om PPD-bestanden vanaf een willekeurige locatie te laden. de server Als antwoord op een niet-geautoriseerd extern verzoek, waarbij de klant een URL indient, probeert cups-browsed een PPD-bestand van de opgegeven server te laden.
Bij het verzenden van een verzoek om een PPD-bestand in cups-browsed te laden, kan men een extra aanroep aan de waarde 'IPP URI' toevoegen, die tot 989 bytes kan bedragen. In het geĆÆnitieerde cups-browsed-verzoek wordt de waarde 'IPP URI' tweemaal gedupliceerd ā Ć©Ć©n keer in de HTTP-header en een tweede keer binnen de POST-verzoekbody, en de verzoeken worden cyclisch herhaald na mislukte pogingen om te laden en het teruggeven van server de 404-foutcode.
Op 62% (35900) van de gecontroleerde systemen heeft cups-browsed minstens 10 TCP/IPP/HTTP-verzoeken naar het aangevallen systeem gestuurd als reactie op Ć©Ć©n inkomend UDP-verzoek. Gemiddeld voor 58000 kwetsbare systemen bedroeg het aantal herhaalde verzoeken 45. In een optimale situatie leidt het verzenden van Ć©Ć©n 30-bytere inkomend verzoek met 45 herhaalde pogingen tot het verzenden van 18000 bytes data naar het doelwit, wat betekent dat er een verkeersversterking van 600 keer wordt waargenomen. In het slechtste scenario is de versterking 108 keer.
Daarnaast kan worden vermeld dat het bedrijf Cloudflare een record DDoS-aanval heeft afgeweerd, waarbij er een stroom van 3.8 terabit per seconde (2.14 miljard pakketten per seconde) naar het slachtoffer-systeem werd gericht. Het wordt opgemerkt dat de aanval werd georganiseerd met behulp van een groot aantal gecompromitteerde thuisrouters van Asus en Mikrotik, evenals DVR-apparaten en webservers, die onder andere werden gehackt met behulp van relatief recente kwetsbaarheden.
Bron: opennet.ru
