Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book

Nowy atak off-path na TCP – umożliwia przejęcie sesji http / wstrzykiwanie komunikacji / degradację TOR-a

10 sierpnia 2016, 20:44 | W biegu | komentarzy 5
 TL;DR jedno z „nowych” rozszerzeń do TCP (2010 rok…) umożliwia atak podsłuchu / wstrzyknięcia komunikacji (np. malware) do sesji TCP ofiary. Atak wymaga 40-60 sekund i ma skuteczność 88-97%. Podatne są Linuksy (kernel 3.6 – od 2012 roku).  Całość zaprezentowana została m.in. przez ludzi z US Army Research Laboratory.

Pełen research dostępny jest tutaj (pdf tutaj). Dostępny jest też film pokazujący w ramach PoC wstrzyknięcie javascriptu na stronę USA today:

Badacze o całości piszą tak:

In a nutshell, the vulnerability allows a blind off-path attacker to infer if any two arbitrary hosts on the Internet are communicating using a TCP connection. Further, if the connection is present, such an off-path attacker can also infer the TCP sequence numbers in use, from both sides of the connection; this in turn allows the attacker to cause connection termination and perform data injection attacks. We illustrate how the attack can be leveraged to disrupt or degrade the privacy guarantees of an anonymity network such as Tor, and perform web connection hijacking.

Odkrywcy podatności wskazują, że tym razem na szczęście nie są podatne Windowsy / OS X-y (nie implementują wskazanego wyżej RFC) – z drugiej strony, jaki system jest najpopularniejszy na serwerach…? Co więcej, jak pisze Arstechnica, do skutecznego ataku wystarczy, że tylko jedna strona komunikacji jest podatna:

For the attack to work, only one of the two targeted parties has to be vulnerable, meaning many of the world’s top websites and other services running on Linux remain susceptible.

Pełna prezentacja odbywa się dzisiaj na konferencji usenix, więc pewnie niedługo pojawi się więcej szczegółów. Na razie mamy informacje o kilku dystrybucjach (RedHat, Debian) jako podatnych, choć np. Base Score wg CVSSv2 został określony „tylko” jako 5.8 / 10 (niektórzy jak SUSE – mniej).

debi

–ms

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. skirge

    Zainstalowałem Ubuntu zamiast FreeBSD i kara przyszła.

    Odpowiedz
  2. zero one

    Woda na młyn dla anty-Pingwinkowych nienawistników.

    Do @skirge: Spoko spoko. ;) Gdyby człek wiedział że się przewróci to by się położył. Najlepiej zaś leżał i nie wstawał. ;E Poza tym dziurę znajdzie się wszędzie.

    Pozdrawiam.

    Odpowiedz
  3. Kernelpanic

    Dla ubuntu patch już ponoć jest, ja czekam na łate dla Debiana stable …

    Odpowiedz
  4. #

    # echo 999999999 >/proc/sys/net/ipv4/tcp_challenge_ack_limit

    Odpowiedz
  5. D4oS

    Dobrze rozumiem, że Win i Mac są 'odporne’, bo nie chciało im się implementować rozszerzenia TCP? Analogicznie w mojej Fieście z 92′ też nie zepsuje się autopilot? Z drugiej strony nie mam najmniejszej ochoty czytać co to RFC robi, ale wydaje się zbędne skoro te systemy radziły sobie bez niego.

    Odpowiedz

Odpowiedz