Se ha identificado un nuevo tipo de ataque de denegación de servicio (DoS) que explota vulnerabilidades en protocolos de capa de aplicación que utilizan el protocolo UDP. Este método, denominado Loop DoS, puede afectar a cientos de miles de hosts y redes.
Mecanismo del ataque
El ataque se basa en la comunicación entre servidores que ejecutan protocolos UDP vulnerables. Los investigadores del Centro CISPA Helmholtz explicaron que el método consiste en emparejar dos servicios de red para que respondan indefinidamente a mensajes del otro, generando un bucle de tráfico que resulta en una denegación de servicio.
UDP es un protocolo sin conexión que no valida las direcciones IP de origen. Esto lo hace susceptible a la suplantación de identidad, permitiendo a los atacantes falsificar paquetes UDP para incluir la dirección IP de la víctima. El servidor de destino responde a esta dirección, creando un ataque reflejado.
Protocolos afectados
El estudio reveló que ciertas implementaciones del protocolo UDP pueden usarse como herramientas para crear bucles de ataque. Entre los protocolos afectados se encuentran DNS, NTP, TFTP, Active Users, Daytime, Echo, Chargen, QOTD y Time.
Proceso de inyección
Dado que dos servidores ejecutan una versión vulnerable del protocolo UDP, un actor malicioso puede iniciar la comunicación con el primer servidor falsificando la dirección del segundo. Esto hace que el primer servidor responda a la víctima (el segundo servidor) con un mensaje de error.
La víctima, al recibir este mensaje, también responderá al primer servidor, generando un bucle de mensajes de error entre ambos servidores. Este proceso agota los recursos de cada uno, haciendo que los servicios no respondan correctamente.
Impacto potencial
CISPA estimó que se puede abusar de 300.000 hosts y sus redes para llevar a cabo ataques Loop DoS. Aunque actualmente no hay evidencia de que el ataque haya sido utilizado en la naturaleza, los investigadores advirtieron que su explotación es trivial.
Los productos afectados incluyen múltiples soluciones de Broadcom, Cisco, Honeywell, Microsoft, MikroTik y Zyxel. Para activar los bucles, los atacantes necesitan un único host con capacidad de suplantación de identidad.
Recomendaciones
Los investigadores destacaron la importancia de implementar iniciativas para filtrar el tráfico falsificado, como BCP38. Esta medida puede ayudar a mitigar los efectos del ataque y reducir su impacto.
El documento técnico relacionado con este descubrimiento se encuentra disponible públicamente.