Bezpečnostný tím siete na doručovanie obsahu Akamai identifikoval dodatočný vektor útoku pre proces prehliadania cups, okrem toho, že sa používa ako súčasť exploitu, ktorý vedie k spusteniu kódu v systéme. Odoslaním požiadaviek do procesu cups-browsed, ktorý prijíma pripojenia na porte 631 bez obmedzení, je možné odoslať dáta na iný hostiteľ, ktorých veľkosť bude až 600-krát väčšia ako pôvodná požiadavka. Pre porovnanie, zisk pre memcached môže dosiahnuť 10-50 tisíc krát, NTP - 556-krát, DNS - 28-54, RIPv2 - 21, SNMPv2 - 6.
Táto funkcia vám umožňuje používať systémy s prehliadaním pohárov ako zosilňovač premávky pri vykonávaní DDoS útokov. Metóda útoku zosilňovača premávky je založená na skutočnosti, že požiadavky z počítačov zúčastňujúcich sa na DDoS útoku sa neposielajú priamo do systému obete, ale cez prostredný zosilňovač premávky. Počas skenovania siete bolo identifikovaných viac ako 198 tisíc zraniteľných systémov s CUPS, z ktorých 34 % (58 tisíc systémov) bolo vhodných na zosilnenie prevádzky pri DDoS útoku.
Na rozdiel od metód zosilnenia prevádzky, ktoré vyžadujú odosielanie UDP paketov s falošnou spiatočnou adresou obete, použitie cups-browsed eliminuje potrebu spoofingu. Služba cups-browsed má vstavanú schopnosť stiahnuť súbor PPD z ľubovoľného umiestnenia. server v reakcii na neoprávnenú externú požiadavku, pri ktorej klient odošle URL adresu a cups-browsed sa pokúsi stiahnuť súbor PPD zo zadaného servera.
Pri odosielaní požiadavky na stiahnutie súboru PPD do cups-browsed môžete k hodnote „IPP URI“, ktorá môže mať až 989 bajtov, pridať dodatočnú výplň. V tomto prípade sa hodnota „IPP URI“ duplikuje v požiadavke iniciovanej cups-browsed – raz v hlavičke HTTP a raz v tele požiadavky POST a požiadavky sa opakujú v slučke po neúspešných pokusoch o stiahnutie a vrátia sa. server Kód chyby 404.
V 62 % (35 900) testovaných systémov odoslala služba prehliadania pohárov aspoň 10 TCP/IPP/HTTP požiadavky do napadnutého systému v reakcii na jednu počiatočnú UDP požiadavku. V priemere pre 58 000 postihnutých systémov bol počet opakovaní 45. V optimálnom scenári by odoslanie jednej 30-bajtovej počiatočnej požiadavky so 45 opakovaniami viedlo k odoslaniu 18 000 bajtov dát do cieľového systému, čo predstavuje 600-násobný nárast prevádzky. V najhoršom scenári je nárast 108-násobný.
Okrem toho môžeme poznamenať, že Cloudflare odrazil rekordný útok DDoS, v dôsledku ktorého bol do systému obete odoslaný tok 3.8 terabitov za sekundu (2.14 miliardy paketov za sekundu). Je potrebné poznamenať, že útok bol organizovaný pomocou veľkého počtu kompromitovaných domácich smerovačov Asus a Mikrotik, ako aj zariadení DVR a webových serverov, ktoré boli okrem iného napadnuté pomocou relatívne nedávnych zraniteľností.
Zdroj: opennet.ru
