RangeAmp - mfululizo wa mashambulizi ya CDN ambayo hubadilisha kichwa cha Masafa ya HTTP

Timu ya watafiti kutoka Chuo Kikuu cha Peking, Chuo Kikuu cha Tsinghua na Chuo Kikuu cha Texas huko Dallas imefichuliwa darasa jipya la mashambulizi ya DoS - RangeAmp, kulingana na matumizi ya kichwa cha HTTP Mbalimbali kuandaa ukuzaji wa trafiki kupitia mitandao ya uwasilishaji wa yaliyomo (CDN). Kiini cha njia ni kwamba kwa sababu ya jinsi vichwa vya safu huchakatwa katika CDN nyingi, mshambuliaji anaweza kuomba byte moja kutoka kwa faili kubwa kupitia CDN, lakini CDN itapakua faili nzima au kizuizi kikubwa zaidi cha data kutoka kwa faili kubwa. seva inayolengwa kuwekwa kwenye kache. Kiwango cha ukuzaji wa trafiki wakati wa shambulio kama hilo, kulingana na CDN, huanzia mara 724 hadi 43330, ambayo inaweza kutumika kupakia CDN na trafiki inayoingia au kupunguza uwezo wa njia ya mwisho ya mawasiliano kwenye tovuti ya mwathirika.

Kijajuu cha Masafa humpa mteja uwezo wa kubainisha anuwai ya nafasi katika faili ambayo inapaswa kupakuliwa badala ya kurudisha faili nzima. Kwa mfano, mteja anaweza kubainisha "Range: bytes=0-1023" na seva itasambaza baiti 1024 za kwanza pekee za data. Kipengele hiki kinahitajika wakati wa kupakua faili kubwa - mtumiaji anaweza kusitisha upakuaji na kuendelea kutoka kwa nafasi iliyokatizwa. Wakati wa kubainisha “byte=0-0”, kiwango kinaelekeza kutoa baiti ya kwanza kwenye faili, “byte=-1” - ya mwisho, “byte=1-” - kuanzia baiti 1 hadi mwisho wa faili. Inawezekana kusambaza safu kadhaa katika kichwa kimoja, kwa mfano "Range: bytes=0-1023,8192-10240".

Zaidi ya hayo, chaguo la pili la shambulio limependekezwa, linalolenga kuongeza mzigo wa mtandao wakati wa kusambaza trafiki kupitia CDN nyingine, ambayo hutumiwa kama wakala (kwa mfano, Cloudflare inapofanya kazi kama sehemu ya mbele (FCDN), na Akamai anafanya kazi ya nyuma. BCDN). Njia hiyo ni sawa na shambulio la kwanza, lakini imewekwa ndani ya mitandao ya CDN na inaruhusu trafiki iliyoongezeka inapopatikana kupitia CDN nyingine, kuongeza mzigo kwenye miundombinu na kupunguza ubora wa huduma.

Wazo ni kwamba mshambuliaji atume maombi ya Masafa ya safu kadhaa kwa CDN, kama vile "baiti=0-,0-,0-...", "baiti=1-,0-,0-..." au "baiti=-1024,0 ,0-,0-...". Maombi yana idadi kubwa ya safu za "0-", ikimaanisha kuwa faili inarudishwa kutoka nafasi ya sifuri hadi mwisho. Kwa sababu ya utekelezaji usio sahihi wa uchanganuzi wa masafa, CDN ya kwanza inapofikia ya pili, faili kamili hutumwa kwa kila safu ya "53-" (safu hazijajumlishwa, lakini zimerudiwa kwa mpangilio), ikiwa kuna nakala na makutano ya safu katika ombi lililotumwa hapo awali na mshambuliaji. Kiwango cha ukuzaji wa trafiki katika shambulio kama hilo huanzia mara 7432 hadi XNUMX.

Wakati wa utafiti, tabia ya CDN 13 ilisomwa -
Akamai, Alibaba Cloud, Azure, CDN77, CDNsun, Cloudflare, CloudFront, Fastly, G-Core Labs, Huawei Cloud, KeyCDN, StackPath na Tencent Cloud. CDN zote zilizochunguzwa ziliruhusu aina ya kwanza ya shambulio kwenye seva ya mwisho. Lahaja ya pili ya shambulio la CDN iliathiri huduma 6, ambazo nne zinaweza kuwa mstari wa mbele katika shambulio hilo (CDN77, CDNsun, Cloudflare na StackPath) na tatu kama njia ya nyuma (Akamai, Azure na StackPath). Faida kubwa zaidi hupatikana katika Akamai na StackPath, ambayo inaruhusu zaidi ya safu elfu 10 kubainishwa katika kichwa cha Masafa. Wamiliki wa CDN waliarifiwa kuhusu udhaifu huo takriban miezi 7 iliyopita, na wakati taarifa hiyo ilipofichuliwa hadharani, CDN 12 kati ya 13 walikuwa wamerekebisha matatizo yaliyotambuliwa au walionyesha kuwa tayari kuyarekebisha (huduma ya StackPath pekee ndiyo haikujibu).

Chanzo: opennet.ru