WhiteHat News #ID:0911
VIP Members
-
30/07/2014
-
79
-
711 bài viết
Lỗ hổng SLP cho phép tấn công DoS với hệ số khuếch đại 2.200
Các nhà nghiên cứu an ninh mạng tại Bitsight và Curesec cảnh báo lỗ hổng nghiêm trọng trong Giao thức SLP có thể bị khai thác để khởi phát các cuộc tấn công DoS với hệ số khuếch đại cao.
Giao thức SLP ra đời năm 1997, được sử dụng để khai thác dịch vụ mạng nội bộ mà không cần cấu hình trước và có thể được cấu hình để phù hợp với các mạng doanh nghiệp có quy mô từ nhỏ đến lớn. Giao thức không nhằm mục đích kết nối đến internet.
Lỗ hổng, có mã định danh CVE-2023-29552 (điểm CVSS là 8,6), tồn tại do SLP cho phép những kẻ tấn công từ xa, không được xác thực đăng ký các dịch vụ tùy ý.
“Điều này có thể cho phép kẻ tấn công sử dụng lưu lượng UDP giả mạo để thực hiện một cuộc tấn công từ chối dịch vụ với hệ số khuếch đại đáng kể”, NIST giải thích.
Theo Bitsight, lỗ hổng cho phép hệ số khuếch đại DoS là 2.200. Điều này có thể xảy ra bởi những kẻ tấn công có thể kết hợp một cuộc tấn công khuếch đại DoS ánh xạ điển hình với đăng ký dịch vụ để gia tăng lượng lưu lượng gửi đến nạn nhân.
“Giả sử truy vấn 29 byte, hệ số khuếch đại nằm trong khoảng từ 1,6X đến 12X. Tuy nhiên, SLP cho phép người dùng chưa xác thực đăng ký các dịch vụ mới tùy ý. Nghĩa là kẻ tấn công có thể thao túng cả nội dung và kích thước phản hồi của máy chủ, dẫn đến hệ số khuếch đại tối đa hơn 2200X, có nghĩa là tạo ra phản hồi khoảng 65.000 byte cho truy vấn 29-byte”, Bitsight giải thích.
Để khai thác lỗ hổng, kẻ tấn công cần tìm máy chủ SLP trên cổng UDP 427, đăng ký dịch vụ cho đến khi SLP từ chối entry mới, gửi truy vấn đến dịch vụ bằng cách giả mạo IP của nạn nhân như ban đầu, sau đó lặp lại bước cuối cùng trong khi cuộc tấn công đang diễn ra.
“Tùy thuộc vào phần mềm và/hoặc hệ thống đang được sử dụng, kích thước của phản hồi có khả năng đạt đến giới hạn thực tế của một gói UDP đơn nhất, thường là 65.536 byte”, Bitsight lưu ý.
Trong tháng 2/2023, hơn 2.000 công ty toàn cầu đang sử dụng SLP, với hơn 54.000 bản SLP có thể truy cập được từ internet. Theo Curesec, hiện tại có khoảng 34.000 hệ thống có thể khai thác với SLP.
Theo Bitsight, các tổ chức Fortune 1000 trong lĩnh vực tài chính, bảo hiểm, chăm sóc sức khỏe, khách sạn, sản xuất, công nghệ, viễn thông và vận tải là các đối tượng dễ bị ảnh hưởng.
Hơn 670 loại sản phẩm khác nhau đã bị phát hiện tồn tại lỗ hổng, bao gồm IBM Integrated Management Module (IMM), máy in HP, máy in Konica Minolta, bộ định tuyến Planex, máy chủ VMware ESXi và nhiều sản phẩm khác.
Vào ngày 25/4, VMware cảnh báo mặc dù các phiên bản ESXi đang được hỗ trợ (ESXi 7.x và 8.x) không bị ảnh hưởng bởi CVE-2023-29552, nhưng các phiên bản không còn được hỗ trợ, chẳng hạn như 6.7 và 6.5, lại dễ bị tấn công. Khách hàng nên nâng cấp lên phiên bản được hỗ trợ càng sớm càng tốt.
Theo Cloudflare và Netscout, SLP có thể sẽ bị lợi dụng để khuếch đại các cuộc tấn công DDoS, trừ khi các tổ chức thực hiện các biện pháp an ninh cần thiết để bảo vệ các bản SLP.
Tắt SLP trên các hệ thống kết nối các mạng không đáng tin cậy sẽ ngăn việc khai thác CVE-2023-29552. Đặt các quy tắc tường lửa để lọc lưu lượng truy cập trên cổng UDP và TCP 427 cũng sẽ giảm thiểu các rủi ro liên quan đến lỗ hổng.
Ngày 25/4, Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) kêu gọi các quản trị viên xem xét thông tin về CVE-2023-29552 và “xem xét việc vô hiệu hóa hoặc hạn chế quyền truy cập mạng vào các máy chủ SLP” để ngăn chặn việc khai thác.
Giao thức SLP ra đời năm 1997, được sử dụng để khai thác dịch vụ mạng nội bộ mà không cần cấu hình trước và có thể được cấu hình để phù hợp với các mạng doanh nghiệp có quy mô từ nhỏ đến lớn. Giao thức không nhằm mục đích kết nối đến internet.
Lỗ hổng, có mã định danh CVE-2023-29552 (điểm CVSS là 8,6), tồn tại do SLP cho phép những kẻ tấn công từ xa, không được xác thực đăng ký các dịch vụ tùy ý.
“Điều này có thể cho phép kẻ tấn công sử dụng lưu lượng UDP giả mạo để thực hiện một cuộc tấn công từ chối dịch vụ với hệ số khuếch đại đáng kể”, NIST giải thích.
Theo Bitsight, lỗ hổng cho phép hệ số khuếch đại DoS là 2.200. Điều này có thể xảy ra bởi những kẻ tấn công có thể kết hợp một cuộc tấn công khuếch đại DoS ánh xạ điển hình với đăng ký dịch vụ để gia tăng lượng lưu lượng gửi đến nạn nhân.
“Giả sử truy vấn 29 byte, hệ số khuếch đại nằm trong khoảng từ 1,6X đến 12X. Tuy nhiên, SLP cho phép người dùng chưa xác thực đăng ký các dịch vụ mới tùy ý. Nghĩa là kẻ tấn công có thể thao túng cả nội dung và kích thước phản hồi của máy chủ, dẫn đến hệ số khuếch đại tối đa hơn 2200X, có nghĩa là tạo ra phản hồi khoảng 65.000 byte cho truy vấn 29-byte”, Bitsight giải thích.
Để khai thác lỗ hổng, kẻ tấn công cần tìm máy chủ SLP trên cổng UDP 427, đăng ký dịch vụ cho đến khi SLP từ chối entry mới, gửi truy vấn đến dịch vụ bằng cách giả mạo IP của nạn nhân như ban đầu, sau đó lặp lại bước cuối cùng trong khi cuộc tấn công đang diễn ra.
“Tùy thuộc vào phần mềm và/hoặc hệ thống đang được sử dụng, kích thước của phản hồi có khả năng đạt đến giới hạn thực tế của một gói UDP đơn nhất, thường là 65.536 byte”, Bitsight lưu ý.
Trong tháng 2/2023, hơn 2.000 công ty toàn cầu đang sử dụng SLP, với hơn 54.000 bản SLP có thể truy cập được từ internet. Theo Curesec, hiện tại có khoảng 34.000 hệ thống có thể khai thác với SLP.
Theo Bitsight, các tổ chức Fortune 1000 trong lĩnh vực tài chính, bảo hiểm, chăm sóc sức khỏe, khách sạn, sản xuất, công nghệ, viễn thông và vận tải là các đối tượng dễ bị ảnh hưởng.
Hơn 670 loại sản phẩm khác nhau đã bị phát hiện tồn tại lỗ hổng, bao gồm IBM Integrated Management Module (IMM), máy in HP, máy in Konica Minolta, bộ định tuyến Planex, máy chủ VMware ESXi và nhiều sản phẩm khác.
Vào ngày 25/4, VMware cảnh báo mặc dù các phiên bản ESXi đang được hỗ trợ (ESXi 7.x và 8.x) không bị ảnh hưởng bởi CVE-2023-29552, nhưng các phiên bản không còn được hỗ trợ, chẳng hạn như 6.7 và 6.5, lại dễ bị tấn công. Khách hàng nên nâng cấp lên phiên bản được hỗ trợ càng sớm càng tốt.
Theo Cloudflare và Netscout, SLP có thể sẽ bị lợi dụng để khuếch đại các cuộc tấn công DDoS, trừ khi các tổ chức thực hiện các biện pháp an ninh cần thiết để bảo vệ các bản SLP.
Tắt SLP trên các hệ thống kết nối các mạng không đáng tin cậy sẽ ngăn việc khai thác CVE-2023-29552. Đặt các quy tắc tường lửa để lọc lưu lượng truy cập trên cổng UDP và TCP 427 cũng sẽ giảm thiểu các rủi ro liên quan đến lỗ hổng.
Ngày 25/4, Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) kêu gọi các quản trị viên xem xét thông tin về CVE-2023-29552 và “xem xét việc vô hiệu hóa hoặc hạn chế quyền truy cập mạng vào các máy chủ SLP” để ngăn chặn việc khai thác.
Nguồn: Security Week