नेट स्लिपस्ट्रीमिंग हल्ल्याचा नवीन प्रकार जाहीर करण्यात आला

NAT स्लिपस्ट्रीमिंग हल्ल्याचा एक नवीन प्रकार अनावरण करण्यात आला, जे ब्राउझरमध्ये आक्रमणकर्त्याने तयार केलेले वेब पृष्ठ उघडणार्‍या वापरकर्त्याच्या सिस्टमवरील आक्रमणकर्त्याच्या सर्व्हरपासून कोणत्याही यूडीपी किंवा टीसीपी पोर्टवर नेटवर्क कनेक्शन स्थापित करण्यास अनुमती देते.

हल्ला आक्रमणकर्त्यास कोणत्याही वापरकर्त्याच्या पोर्टवर कोणताही डेटा पाठविण्याची परवानगी देतो, पीडितेच्या सिस्टममध्ये पीडितेच्या अंतर्गत पत्त्याच्या वापराचा विचार न करता, ज्या नेटवर्कवरून ती थेट बंद केली जाते आणि प्रवेश केवळ भाषांतरकाराच्या माध्यमातूनच शक्य आहे.

नवीन प्रकाराचे ऑपरेटिंग तत्त्व NAT स्लिपस्ट्रीमिंग आक्रमण (सीव्हीई -2021-23961, सीव्हीई -2020-16043) आणि द्वारामूळ पद्धतीप्रमाणेच, फरक एएलजी द्वारे प्रक्रिया केलेल्या इतर प्रोटोकॉलच्या वापरास कमी केले आहे (अनुप्रयोग स्तर गेटवे).

हल्ल्याच्या पहिल्या प्रकारात, एएलजीला फसवण्यासाठी, एसआयपी प्रोटोकॉलची हेरफेर वापरली गेली, जी अनेक नेटवर्क पोर्ट वापरते (एक डेटासाठी आणि एक नियंत्रणासाठी). दुसरा पर्याय व्हीओआयपी एच.323 प्रोटोकॉलसह समान हाताळणीस अनुमती देतो, जो टीसीपी पोर्ट 1720 वापरतो.

तसेच, दुसरी आवृत्ती अस्वीकार्य नसलेल्या बंदरांची काळीसूची सोडून द्यायचे तंत्र प्रस्तावित करते टीआरएनएन (ट्रॅव्हर्झल यूजिंग रिलेच्या आसपास एनएटी) प्रोटोकॉल वापरण्यासाठी, जी वेबआरटीसीमध्ये भिन्न नेट्सच्या मागे दोन होस्ट दरम्यान संवाद साधण्यासाठी वापरला जातो.

ब्राउझरद्वारे वेबआरटीसी मधील टर्न कनेक्शन स्थापित केले जाऊ शकतात केवळ यूडीपीसाठीच नाही, तर टीसीपीद्वारे देखील जा आणि कोणत्याही नेटवर्क टीसीपी पोर्टवर जा.

हे वैशिष्ट्य NAT स्लिपस्ट्रीमिंग हल्ला केवळ H.323 वरच नव्हे तर इतर कोणत्याही संयुक्त प्रोटोकॉलवर देखील लागू करण्यास अनुमती देतेजसे की एफटीपी आणि आयआरसी, जे एचटीटीपीद्वारे प्रवेश करण्यास परवानगी नसलेल्या बंदरांच्या यादीमध्ये समाविष्ट आहेत परंतु ते टर्नसाठी बंदी असलेल्या बंदरांच्या यादीमध्ये समाविष्ट नाहीत.

पद्धत देखील ब्राउझरमध्ये जोडलेले संरक्षण बायपास करून अनुमती देते 5060 (एसआयपी) पोर्ट करण्यासाठी HTTP विनंती नाकारण्याच्या आधारावर प्रथम NAT स्लिपस्ट्रीमिंग आक्रमण विरूद्ध आहे.

फायरफॉक्स 85, क्रोम 87.0.4280.141, काठ 87.0.664.75, आणि सफारी 14.0.3 च्या अलीकडील आवृत्त्यांमध्ये ही समस्या निश्चित केली गेली आहे.

H.323 प्रोटोकॉलशी संबंधित नेटवर्क पोर्ट व्यतिरिक्त, ब्राउझरला एचटीटीपी, एचटीटीपीएस आणि एफटीपी विनंत्या टीसीपी पोर्ट्स 69, 137, 161 आणि 6566 पाठविण्यास देखील अवरोधित केले आहे.

लिनक्स कर्नल मध्ये, नेटफिल्टरमधील कॉन्ट्रॅक एएलजी मॉड्यूलची कार्यक्षमता अक्षम केली आहे आवृत्ती default.१. पासून डीफॉल्टनुसार, म्हणजेच डीफॉल्टनुसार, नवीन लिनक्स कर्नलवर आधारित पत्ता भाषांतरकारांना समस्येचा त्रास होत नाही.

उदाहरणार्थ, ओएलडब्ल्यूआरटीला एएलजी मॉड्यूल्ससह पॅकेजेस स्थापित करतानाही समस्येचा त्रास होत नाही. त्याच वेळी, असुरक्षा व्हीओएस वितरणामध्ये स्वतः प्रकट होते, जी लिनक्स 4.14 कर्नल वापरते, परंतु nf_conntrack_helper ध्वज स्पष्टपणे सक्षम केले आहे, जे FTP आणि H.323 करीता ALG ट्रिगर करते.

समस्या देखील जुन्या लिनक्स कर्नल्ससह किंवा बर्‍याच उपभोक्ता राउटरना प्रभावित करते ते ALG सेटिंग्ज बदलतात. फोर्टिनेट (एफजी 64, 60 ई), सिस्को (सीएसआर 1000, एएसए) आणि एचपीई (विर 1000) हार्डवेअर-आधारित एंटरप्राइझ फायरवॉल आणि अ‍ॅड्रेस ट्रान्सलेटरसाठी देखील अटॅक क्षमताची पुष्टी केली गेली आहे.

स्मरणपत्र म्हणून, एनएटी स्लिपस्ट्रीमिंग हल्ला करण्यासाठी, पीडिताने आक्रमणकर्त्याने तयार केलेला जावास्क्रिप्ट कोड लॉन्च करणे पुरेसे आहे, उदाहरणार्थ हल्लेखोरांच्या वेबसाइटवर पृष्ठ उघडणे किंवा वेबसाइटवर दुर्भावनायुक्त जाहिरात समाविष्ट करणे वैध.

हल्ल्यात तीन टप्पे असतात:

• पहिल्या टप्प्यात, हल्लेखोर वापरकर्त्याच्या अंतर्गत पत्त्याबद्दल माहिती प्राप्त करतो, जे वेबआरटीसी द्वारे निर्धारित केले जाऊ शकते किंवा, वेबआरटीसी अक्षम असल्यास, लपलेल्या प्रतिमेची विनंती करताना प्रतिसाद वेळ मोजण्यासाठी क्रूर शक्तीने हल्ले केले.
• दुसर्‍या टप्प्यात, पॅकेट फ्रेगमेंटेशन पॅरामीटर्स निश्चित केले जातात, ज्यासाठी पीडिताच्या ब्राउझरमध्ये अंमलात आणलेला जावास्क्रिप्ट कोड टीसीपी आणि एमटीयूच्या सेगमेंटेशन पॅरामीटर्सची कॉन्फिगरेशन प्रारंभ करण्यासाठी मानक-नसलेल्या नेटवर्क पोर्ट नंबरचा वापर करुन हल्लेखोर सर्व्हरवर एक मोठा HTTP POST विनंती (जो एका पॅकेटमध्ये बसत नाही) व्युत्पन्न करतो. टीसीपी पीडिताच्या स्टॅकमध्ये आकार.
• तिसर्‍या टप्प्यात, जावास्क्रिप्ट कोड व्युत्पन्न करते आणि विशेष निवडलेली एचटीटीपी विनंती पाठवते (किंवा यूडीपीसाठी टर्न) अटॅकिंग सर्व्हरच्या टीसीपी पोर्ट 1720 (एच.323) पर्यंत, जे खंडित झाल्यानंतर, दोन पॅकेटमध्ये विभागले जाईल: पहिल्यामध्ये एचटीटीपी शीर्षलेख आणि डेटाचा एक भाग आहे, आणि दुसरे पॅकेट बनवते वैध एच.323, ज्यात पीडिताचा अंतर्गत आयपी आहे.

स्त्रोत: https://www.armis.com