Un vettori di amplificazione DDoS di 4,3 miliardi ad 1 è stato rilevato.

Recentemente è stata scoperta una vulnerabilità zero-day nel sistema telefonico aziendale Mitel MiCollab (CVE-2022-26143). Questa vulnerabilità, denominata TP240PhoneHome, può essere utilizzata per lanciare attacchi di amplificazione UDP. 

Il DDoS (Distributed Denial of Service), viene utilizzato negli attacchi contro server o reti inviando un numero elevato di richieste e grandi quantità di dati nel tentativo di esaurire le risorse disponibili e causare interruzioni del servizio.

Il guadagno è fondamentale quando si effettuano attacchi di questo tipo, poiché maggiore è il numero, più facile è per gli aggressori sopraffare endpoint ben protetti e a bassa potenza.

Un attacco di amplificazione del 4,3 miliardi ad 1

Questo tipo di attacco riflette il traffico proveniente dai server vulnerabili alle vittime, amplificando la quantità di traffico inviata durante il processo di un fattore di amplificazione di 4,3 miliardi ad 1 in questo caso specifico.

L’azienda Cloudflare ha studiato l’exploit TP240PhoneHome, insieme ad altri membri della comunità di InfoSec. Per quanto viene riportato, la vulnerabilità è stata sfruttata già il 18 febbraio 2022.

Il vendor Mitel è stato informata della vulnerabilità e a partire dal 22 febbraio, è stato emesso un avviso di sicurezza che riporta l’alta severità della vulnerabilità in questione, consigliando ai propri clienti di bloccare i tentativi di sfruttamento utilizzando un firewall, fino a quando non sarà resa disponibile una patch software.

Mitel Networks ha sede in Canada e fornisce comunicazioni aziendali e prodotti di collaborazione a oltre 70 milioni di utenti aziendali in tutto il mondo. 

Tra i loro prodotti di collaborazione aziendale c’è la suddetta piattaforma Mitel MiCollab, nota per essere utilizzata in infrastrutture critiche come amministrazioni comunali, scuole e servizi di emergenza. La vulnerabilità è stata scoperta nella piattaforma Mitel MiCollab.

Come funziona la vulnerabilità

La vulnerabilità si manifesta come una porta UDP non autenticata che è esposta in modo errato su Internet pubblicamente. 

Il protocollo di controllo delle chiamate in esecuzione su questa porta può essere utilizzato, tra le altre cose, per emettere il comando di debug startblast. Questo comando non effettua chiamate telefoniche reali; piuttosto, simula delle chiamate per testare il sistema. Per ogni chiamata di prova effettuata, vengono emessi due pacchetti UDP in risposta all’emittente del comando.

Secondo l’avviso di sicurezza, l’exploit può

“consentire a un attore malintenzionato di ottenere l’accesso non autorizzato a informazioni e servizi sensibili, causare un degrado delle prestazioni o una condizione di negazione del servizio sul sistema interessato. Se sfruttato con un attacco Denial of Service, il sistema interessato può causare un traffico in uscita significativo con un impatto sulla disponibilità di altri servizi.“

Poiché si tratta di un protocollo basato su UDP non autenticato e senza connessione, è possibile utilizzare lo spoofing per indirizzare il traffico di risposta verso qualsiasi IP e numero di porta e, così facendo, riflettere e amplificare un attacco DDoS alla vittima.

Il vettore di amplificazione può essere utilizzato per danneggiare Internet, ma i sistemi telefonici stessi possono probabilmente essere danneggiati in altri modi da questa vulnerabilità. 

Questa porta di controllo delle chiamate UDP offre molti altri comandi. 

Con un po’ di lavoro, è probabile che tu possa utilizzare questa porta UDP per commettere frodi telefoniche o semplicemente per rendere inutilizzabile il sistema.

Una buona notizia

Fortunatamente, solo poche migliaia di questi dispositivi sono esposti in modo improprio su Internet, il che significa che questo vettore può “solo” raggiungere diverse centinaia di milioni di pacchetti al secondo in totale. 

Questo volume di traffico può causare gravi interruzioni se non sei protetto da un servizio di protezione DDoS automatizzato sempre attivo, ma se lo sei non c’è nulla di cui preoccuparsi.

Inoltre, un utente malintenzionato non può eseguire più comandi contemporaneamente. Al contrario, il server mette in coda i comandi e li esegue in serie. Se un utente malintenzionato sceglie di iniziare un attacco specificando un numero molto elevato di pacchetti, quella casella viene “bruciata” e non può essere utilizzata per attaccare nessun altro fino al completamento dell’attacco.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.