Sockstress
今月にはいって、ちょっとした騒ぎになっている Sockstress。ほとんど全てのサーバOSやネットワーク機器のTCP/IPスタックに脆弱性があるらしい、ということはどうやら確かなようだが、その詳細が明らかにされていないため、セキュリティ研究者のイライラが高まっているようだ。少し前の Dan Kaminskyの DNS Cache Poisoning問題の時と状況が少し似ている。
著名なセキュリティ研究者たちが、あちらこちらで今回の件について推測しているが、それらをまとめるとこういうことになるらしい。
- Client-side SYN Cookieを利用して、Client側のリソースを消費することなく、Server側に対して大量のコネクションをはる
- Windowサイズを 0にすることで、コネクションをオープンにしたまま、Server側からの Ack再送を継続的に行わせる
- Client側から送信するデータの途中で意図的にパケットをロストさせ、Server側からの Selective Ackに対して、ロストしたデータの再送を行わないまま、後続のデータ送信を続ける
- これらの攻撃手法を利用することで、Server側ではタイマーや受信バッファなどのリソースを大量に消費することになり、リソースが枯渇してサービス不能に陥いる
さてベンダーの対応がすんで詳細が公開されるのはいつになるのやら。
(参考情報)
TCP Vulnerability Found|Security News | Outpost24
発見者(Jack C. Louis)が所属する会社 Outost24のプレスリリース
Schedule for 2008
来週行われる T2カンファレンスで 発見者らによる講演が予定されている。
Sec-t | News and updates
先月の Sec-Tカンファレンスで発見者らによる講演があった。プレゼン資料が公開されている。
(ただしもちろん脆弱性の詳細については一切触れられていない。攻撃デモはやったらしい。)
Robert E. Lee
Outpost24の CSOを務める Robert E. Leeさんのブログ。
Unicornscan
発見者らが開発している高速ポートスキャナー。今回の脆弱性発見の元になったらしい。
CERT-FI - CERT-FI Statement on the Outpost24 TCP Issues
CERT-FIのコンタクトページ。中身ほとんどなし。
Errata Security: TCP DoS (probably) real
Errata Security: TCP Selective ACK considered evil
Selective ACKについて述べている。
GRC | SockStress on Security Now! — Notes for Episode #164
Steve Gibsonさんが、Podcast (Security Now!)でこの件についてとりあげている。
Outpost24's TCP DOS Attack Explained
Nmapの作者である Fyodorさんによるまとめ。Robert E. Leeさんとのやりとりがちょっとおもしろい。
TaoSecurity: DoS Me Like It's 1996
TaoSecurityの Richard Bejtlichさんによるブログ記事。
その他、ニュース記事など
DoS attack reveals (yet another) crack in net's core • The Register
New attacks reveal fundamental problems with TCP
Slashdot | New Denial-of-Service Attack Is a Killer
belsec - always on alert - Major update 2 TCP/IP Attack flaw : the info ...
