Centrum Koordynacyjne CERT (grupa komputerowa reagowania na sytuacje awaryjne) opublikowało ostrzeżenie o serii luk w implementacjach różnych protokołów aplikacyjnych, które jako transport wykorzystują protokół UDP. Luki mogą być wykorzystywane do organizacji ataków typu denial of service z powodu możliwości zapętlenia wymiany pakietów między dwoma hostami. Na przykład, atakujący mogą spowodować wyczerpanie dostępnej przepustowości sieci, zablokowanie pracy usług sieciowych (np. poprzez stworzenie dużego obciążenia i przekroczenie limitu intensywności zapytań) oraz wdrażać wzmacniacze ruchu do ataków DDoS.
Wśród protokołów, niektóre implementacje których są podatne na luki, wymieniane są DNS, NTP, TFTP, Echo (RFC862), Chargen (RFC864) i QOTD (RFC865). Obecność luki (CVE-2024-2169) została potwierdzona w wybranych produktach firm Cisco, Microsoft, Broadcom, Brother, Honeywell (CVE-2024-1309) i MikroTik. Jako środki zaradcze w celu zablokowania luk zaleca się włączenie na zaporze blokady spoofingu (uRPF), ograniczenie dostępu do zbędnych usług UDP oraz skonfigurowanie ograniczenia intensywności ruchu (rate-limit i QoS).
Luki są spowodowane brakiem ochrony protokołu UDP przed spoofingiem adresów — w przypadku braku na przełącznikach tranzytowych ochrony przed spoofingiem, atakujący może wskazać w pakiecie UDP adres IP dowolnego serwera i wysłać ten pakiet do innego serwera, który zwróci odpowiedź na wskazany fałszywy adres. Metoda ataku sprowadza się do stworzenia sytuacji z zapętloną wymianą pakietów między serwerami korzystającymi z podatnych implementacji protokołu. Na przykład, w odpowiedzi na otrzymany pakiet, serwer docelowy może wysłać odpowiedź z kodem błędu, a serwer, którego adres podał atakujący, zwróci swoją odpowiedź, co znowu doprowadzi do zwrócenia pakietu z kodem błędu. W ten sposób, serwery będzie to trwało w nieskończoność, grając między sobą pakietami w "ping-pong".
Warto zauważyć, że podobna metoda ataku nie jest nowa i w serwerze Synchronizacja czasu ntpd - jedna z opcji ataku została usunięta jeszcze w 2009 roku (CVE-2009-3563) w wersjach 4.2.4p8 i 4.2.5. Atak polegał na wysyłaniu pakietu NTP z fałszywym adresem i ustawioną flagą MODE_PRIVATE, w trakcie przetwarzania którego docelowy serwer zwracał odpowiedź o braku możliwości użycia trybu prywatnego, pozostawiając flagę MODE_PRIVATE w odpowiedzi. W związku z tym inny serwer również nie mógł przetworzyć tej flagi i zwracał swoją odpowiedź, co prowadziło do cyklu wymiany pakietów między dwoma serwerami NTP. W przypadku protokołu DNS ostrzeżenie o możliwości przeprowadzenia podobnego ataku opublikowano już w 1996 roku.
Globalne skanowanie adresów w internecie wykazało, że obecnie w sieci znajduje się co najmniej 23 tysiące podatnych serwerów TFTP, 63 tysiące serwerów DNS, 89 tysięcy serwerów NTP, 56 tysięcy usług Echo/RFC862, 22 tysiące usług Chargen/RFC864 oraz 21 tysięcy usług QOTD/RFC865. Przyjmuje się, że w przypadku serwerów NTP istnienie nieusuniętej podatności związane jest z używaniem bardzo starych wersji ntpd wydanych przed 2010 rokiem. Usługi Echo, Chargen i QOTD są podatne z natury ze względu na swoją architekturę. Sytuacja z serwerami TFTP i DNS wymaga interwencji ich administratorów. Serwery atftpd i tftpd nie są narażone na problem, ponieważ używają losowej liczby portu sieciowego źródłowego przy wysyłaniu odpowiedzi. Wspomniane są podatne serwery DNS dproxy-nexgen. W produktach Microsoft problem występuje w WDS (Windows Deployment Services), a w produktach Cisco problem dotyczy routerów serii 2800 i 2970.
Źródło: opennet.ru
