Onderzoekers van de Universiteit van Boston aanvalsmethode
(CVE-2019-11728) scan IP-adressen en open netwerkpoorten op het interne netwerk van de gebruiker, afgeschermd van het externe netwerk door een firewall, of op het huidige systeem (localhost). De aanval kan worden uitgevoerd bij het openen van een speciaal ontworpen pagina in de browser. De voorgestelde techniek is gebaseerd op het gebruik van een HTTP-header (HTTP-alternatieve services, ). Het probleem doet zich voor in Firefox, Chrome en browsers op basis van hun motoren, waaronder Tor Browser en Brave.
Met de Alt-Svc-header kan de server een alternatieve manier bepalen om toegang te krijgen tot de site en de browser instrueren om het verzoek om te leiden naar een nieuwe host, bijvoorbeeld voor taakverdeling. Het is ook mogelijk om de netwerkpoort voor het doorsturen op te geven. Door bijvoorbeeld 'Alt-Svc: http/1.1="other.example.com:443";ma=200' op te geven, krijgt de client de opdracht verbinding te maken met de host other.example .org om de gevraagde pagina te ontvangen via netwerkpoort 443 en het HTTP/1.1-protocol. De parameter "ma" specificeert de maximale omleidingsduur. Naast HTTP/1.1 worden HTTP/2-over-TLS (h2), HTTP/2-over platte tekst (h2c), SPDY(spdy) en QUIC (quic) met UDP ondersteund als protocollen.
Om adressen te scannen, kan de site van de aanvaller achtereenvolgens de interne netwerkadressen en netwerkpoorten van belang doorzoeken, waarbij de vertraging tussen herhaalde verzoeken als teken wordt gebruikt.
Als de omgeleide bron niet beschikbaar is, ontvangt de browser onmiddellijk een RST-pakket als reactie en markeert de alternatieve dienst onmiddellijk als niet beschikbaar en reset de omleidingslevensduur die in het verzoek is gespecificeerd.
Als de netwerkpoort open is, duurt het langer om de verbinding tot stand te brengen (er wordt geprobeerd een verbinding tot stand te brengen met de bijbehorende pakketuitwisseling) en reageert de browser niet onmiddellijk.
Om informatie over de verificatie te verkrijgen, kan de aanvaller de gebruiker vervolgens onmiddellijk doorsturen naar een tweede pagina, die in de Alt-Svc-header verwijst naar de actieve host van de aanvaller. Als de browser van de client een verzoek naar deze pagina verzendt, kunnen we ervan uitgaan dat de eerste Alt-Svc-verzoekomleiding opnieuw is ingesteld en dat de host en poort die worden getest niet beschikbaar zijn. Als het verzoek niet wordt ontvangen, zijn de gegevens over de eerste omleiding nog niet verlopen en is de verbinding tot stand gebracht.
Met deze methode kunt u ook netwerkpoorten controleren die door de browser op de zwarte lijst staan, zoals mailserverpoorten. Er werd een werkende aanval voorbereid met behulp van iframe-vervanging in het verkeer van het slachtoffer en het gebruik van het HTTP/2-protocol in Alt-Svc voor Firefox en QUIC om UDP-poorten in Chrome te scannen. In Tor Browser kan de aanval niet worden gebruikt in de context van het interne netwerk en de localhost, maar is deze geschikt voor het organiseren van geheime scans van externe hosts via een Tor-exitknooppunt. Er is al een probleem met het scannen van poorten in Firefox 68.
De Alt-Svc-header kan ook worden gebruikt:
- Bij het organiseren van DDoS-aanvallen. Voor TLS kan een omleiding bijvoorbeeld een versterkingsniveau van 60 keer opleveren, aangezien het initiΓ«le clientverzoek 500 bytes in beslag neemt, terwijl het antwoord met een certificaat ongeveer 30 KB bedraagt. Door vergelijkbare verzoeken in een lus op meerdere clientsystemen te genereren, kunt u de netwerkbronnen die beschikbaar zijn voor de server uitputten;
- Om antiphishing- en antimalwaremechanismen van diensten zoals Safe Browsing te omzeilen (doorsturen naar een kwaadwillende host resulteert niet in een waarschuwing);
- Om het volgen van gebruikersbewegingen te organiseren. De essentie van de methode is de vervanging van een iframe dat in Alt-Svc verwijst naar een externe handler voor het volgen van bewegingen, die wordt aangeroepen ongeacht de toevoeging van anti-trackertools. Het is ook mogelijk om op providerniveau te volgen door het gebruik van een unieke identificatie in Alt-Svc (willekeurige IP:poort als identificatie) met de daaropvolgende analyse van het transitverkeer;
- Om bewegingsgeschiedenisinformatie op te halen. Door afbeeldingen van een bepaalde site die Alt-Svc gebruikt in de iframe-pagina in te voegen met een verzoek en de status van Alt-Svc in het verkeer te analyseren, kan een aanvaller die het vermogen heeft om transitverkeer te analyseren, concluderen dat de gebruiker eerder de opgegeven site heeft bezocht. plaats;
- Lawaaierige logboeken van inbraakdetectiesystemen. Via Alt-Svc kunt u namens de gebruiker een golf van verzoeken aan kwaadaardige systemen veroorzaken en de schijn van valse aanvallen wekken om informatie over een echte aanval in het algemene volume te verbergen.
Bron: opennet.ru