O grupo responsável pela segurança da rede de entrega de conteúdo da Akamai identificou um vetor adicional de ataque no processo cups-browsed, além de seu uso como uma das partes em um exploit que leva à execução de código no sistema. Através do envio de solicitações ao processo cups-browsed, que aceita conexões na porta 631 sem restrições, é possível enviar dados para um outro host, cujo tamanho pode exceder a requisição original em até 600 vezes. Para comparação, o fator de amplificação para memcached pode chegar a 10-50 mil vezes, NTP — 556 vezes, DNS — 28-54, RIPv2 — 21, SNMPv2 — 6.
Essa característica permite usar sistemas com cups-browsed como amplificadores de tráfego durante ataques DDoS. O método de ataque com amplificadores de tráfego se baseia no fato de que as solicitações dos computadores envolvidos nos ataques DDoS não são direcionadas diretamente ao sistema da vítima, mas passam por um amplificador de tráfego intermediário. Durante a varredura da rede, foram identificados mais de 198 mil sistemas vulneráveis com CUPS, dos quais 34% (58 mil sistemas) eram adequados para amplificação de tráfego em ataques DDoS.
Ao contrário dos métodos de amplificação de tráfego que exigem o envio de pacotes UDP com um endereço de retorno falsificado da vítima, o uso de cups-browsed permite evitar a falsificação. O serviço cups-browsed possui a funcionalidade padrão de carregar um arquivo PPD de um local qualquer servidor em resposta a uma solicitação externa não autorizada, onde o cliente transmite um URL, e o cups-browsed tenta carregar o arquivo PPD do servidor especificado.
Ao enviar uma solicitação para carregar o arquivo PPD no cups-browsed, é possível anexar um preenchimento adicional ao valor "IPP URI", que pode alcançar 989 bytes. Além disso, na solicitação iniciada pelo cups-browsed, o valor "IPP URI" é duplicado — uma vez no cabeçalho HTTP e outra dentro do corpo da solicitação POST, e as solicitações são repetidamente enviadas após tentativas malsucedidas de carregamento e retorno servidor do código de erro 404.
Em 62% (35900) dos sistemas verificados, o cups-browsed enviou pelo menos 10 requisições TCP/IP/HTTP para o sistema atacado em resposta a uma única requisição UDP de origem. Em média, para 58000 sistemas afetados, o número de tentativas de repetição foi de 45. No cenário ótimo, o envio de uma consulta de origem de 30 bytes com 45 tentativas de repetição levará ao envio de 18000 bytes de dados para o sistema alvo, ou seja, observar-se-á um aumento de tráfego de 600 vezes. No pior dos cenários, o aumento é de 108 vezes.
Adicionalmente, vale destacar o reflexo da empresa Cloudflare em um ataque DDoS recorde, no qual um fluxo de 3,8 terabits por segundo (2,14 bilhões de pacotes por segundo) foi direcionado ao sistema da vítima. Observa-se que o ataque foi organizado utilizando um grande número de roteadores domésticos comprometidos da Asus e Mikrotik, além de dispositivos DVR e servidores web, hackeados, entre outros, utilizando vulnerabilidades relativamente novas.
Fonte: opennet.ru
