WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Lỗi trên Linux cho phép tấn công kết nối Web
Các nhà nghiên cứu phát hiện giao thức Transmission Control Protocol (TCP) trong Linux tạo ra một lỗ hổng có thể bị khai thác để kết thúc kết nối và tấn công tiêm dữ liệu.
Lỗ hổng, CVE-2016-5696, liên quan đến một tính năng được mô tả trong RFC 5961, vốn để tạo thêm khó khăn cho việc khởi động tấn công giả mạo TCP ngoại tuyến. Tính năng này được xây dựng năm 2010, nhưng không được triển khai đầy đủ trong Windows, Mac OS X và hệ điều hành dựa trên FreeBSD. Tuy nhiên, tính năng này được thực thi trong nhân Linux từ phiên bản 3.6, phát hành năm 2012.
Nhóm nghiên cứu từ Đại học California, Riverside và Phòng thí nghiệm Nghiên cứu Quân đội Hoa Kỳ đã xác định một phương pháp tấn công cho phép kẻ tấn công ngoại tuyến chặn các kết nối dựa trên TCP giữa hai máy chủ trên Internet.
Gói dữ liệu TCP truyền từ một máy chủ đến máy chủ khác được xác định bởi số thứ tự duy nhất. Vì có gần 4 tỷ thứ tự, nên không thể xác định số thứ tự nào gắn liền với kết nối cụ thể.
Tuy nhiên, các chuyên gia phát hiện lỗ hổng trong Linux có thể bị lợi dụng để suy ra số thứ tự liên kết với một kết nối cụ thể chỉ đơn giản bằng cách biết địa chỉ IP của các bên kết nối mục tiêu. Kẻ tấn công, không cần trực tiếp chặn kết nối như trong tấn công MitM cổ điển, có thể khai thác điểm yếu này để theo dõi hoạt động của người dùng, chấm dứt kết nối, và tiêm dữ liệu tùy ý vào một kết nối.
Các nhà nghiên cứu lưu ý dữ liệu không thể được tiêm vào kết nối HTTPS, nhưng sử dụng phương pháp này có thể chấm dứt kết nối. Một kịch bản tấn công có liên quan đến việc nhắm mục tiêu vào Tor bằng cách phá vỡ kết nối giữa các relay nhất định để người dùng buộc phải sử dụng relay do kẻ tấn công kiểm soát.
“Khía cạnh độc đáo của cuộc tấn công là cần rất ít điều kiện để thực hiện", Zhiyun Qian, một trong các nhà nghiên cứu tham gia vào dự án giải thích. "Về cơ bản, bất kỳ ai có máy tính trong mạng cho phép giả mạo IP có thể thực hiện cuộc tấn công. Thông tin duy nhất cần thiết là cặp địa chỉ IP (máy khách nạn nhân và máy chủ), và điều này rất dễ có được".
Các chuyên gia đã thực hiện tấn công trên trang tin tức của tờ USA Today, nhưng chỉ ra rằng nhiều dịch vụ lưu trữ trên máy Linux có thể tồn tại lỗ hổng, bao gồm cả video, quảng cáo, tin tức và dịch vụ chat. Điều kiện là trang web hoặc dịch vụ có kết nối TCP dài - từ 40 đến 60 giây. Tỷ lệ thành công là 88% - 97%.
Lỗ hổng đã được vá trong nhân Linux vào tháng 7 với việc phát hành phiên bản 4.7. Các nhà phát triển của nhiều bản phân phối Linux cho biết đang làm việc trên giải quyết lỗ hổng.
Theo SecurityWeek
Lỗ hổng, CVE-2016-5696, liên quan đến một tính năng được mô tả trong RFC 5961, vốn để tạo thêm khó khăn cho việc khởi động tấn công giả mạo TCP ngoại tuyến. Tính năng này được xây dựng năm 2010, nhưng không được triển khai đầy đủ trong Windows, Mac OS X và hệ điều hành dựa trên FreeBSD. Tuy nhiên, tính năng này được thực thi trong nhân Linux từ phiên bản 3.6, phát hành năm 2012.
Nhóm nghiên cứu từ Đại học California, Riverside và Phòng thí nghiệm Nghiên cứu Quân đội Hoa Kỳ đã xác định một phương pháp tấn công cho phép kẻ tấn công ngoại tuyến chặn các kết nối dựa trên TCP giữa hai máy chủ trên Internet.
Gói dữ liệu TCP truyền từ một máy chủ đến máy chủ khác được xác định bởi số thứ tự duy nhất. Vì có gần 4 tỷ thứ tự, nên không thể xác định số thứ tự nào gắn liền với kết nối cụ thể.
Tuy nhiên, các chuyên gia phát hiện lỗ hổng trong Linux có thể bị lợi dụng để suy ra số thứ tự liên kết với một kết nối cụ thể chỉ đơn giản bằng cách biết địa chỉ IP của các bên kết nối mục tiêu. Kẻ tấn công, không cần trực tiếp chặn kết nối như trong tấn công MitM cổ điển, có thể khai thác điểm yếu này để theo dõi hoạt động của người dùng, chấm dứt kết nối, và tiêm dữ liệu tùy ý vào một kết nối.
Các nhà nghiên cứu lưu ý dữ liệu không thể được tiêm vào kết nối HTTPS, nhưng sử dụng phương pháp này có thể chấm dứt kết nối. Một kịch bản tấn công có liên quan đến việc nhắm mục tiêu vào Tor bằng cách phá vỡ kết nối giữa các relay nhất định để người dùng buộc phải sử dụng relay do kẻ tấn công kiểm soát.
“Khía cạnh độc đáo của cuộc tấn công là cần rất ít điều kiện để thực hiện", Zhiyun Qian, một trong các nhà nghiên cứu tham gia vào dự án giải thích. "Về cơ bản, bất kỳ ai có máy tính trong mạng cho phép giả mạo IP có thể thực hiện cuộc tấn công. Thông tin duy nhất cần thiết là cặp địa chỉ IP (máy khách nạn nhân và máy chủ), và điều này rất dễ có được".
Các chuyên gia đã thực hiện tấn công trên trang tin tức của tờ USA Today, nhưng chỉ ra rằng nhiều dịch vụ lưu trữ trên máy Linux có thể tồn tại lỗ hổng, bao gồm cả video, quảng cáo, tin tức và dịch vụ chat. Điều kiện là trang web hoặc dịch vụ có kết nối TCP dài - từ 40 đến 60 giây. Tỷ lệ thành công là 88% - 97%.
Lỗ hổng đã được vá trong nhân Linux vào tháng 7 với việc phát hành phiên bản 4.7. Các nhà phát triển của nhiều bản phân phối Linux cho biết đang làm việc trên giải quyết lỗ hổng.
[video=youtube;5h4rhAAFXFk]https://www.youtube.com/watch?v=5h4rhAAFXFk[/video]
Theo SecurityWeek
Chỉnh sửa lần cuối bởi người điều hành: