WebRTC DoS
Last updated
Last updated
Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Αυτή η ευπάθεια βρέθηκε σε αυτή την ανάρτηση ιστολογίου: https://www.rtcsec.com/article/novel-dos-vulnerability-affecting-webrtc-media-servers/
Η περιγραφόμενη ευπάθεια στους διακομιστές πολυμέσων WebRTC προκύπτει από μια κατάσταση αγώνα κατά την αρχικοποίηση των συνεδριών πολυμέσων, συγκεκριμένα μεταξύ της επικύρωσης συναίνεσης ICE και της έναρξης κυκλοφορίας DTLS. Ακολουθεί μια λεπτομερής ανάλυση:
Κατανομή Θυρών UDP: Όταν ένας χρήστης ξεκινά μια κλήση WebRTC, ο διακομιστής πολυμέσων κατανοεί θύρες UDP για την επεξεργασία των ροών πολυμέσων, με τη διεύθυνση IP και την θύρα να επικοινωνούνται μέσω σήμανσης.
Διαδικασίες ICE και STUN: Ο περιηγητής του χρήστη χρησιμοποιεί το ICE για την επικύρωση συναίνεσης πολυμέσων, χρησιμοποιώντας το STUN για να προσδιορίσει τη διαδρομή σύνδεσης προς τον διακομιστή πολυμέσων.
Συνεδρία DTLS: Μετά την επιτυχή επικύρωση STUN, ξεκινά μια συνεδρία DTLS για την εγκαθίδρυση κύριων κλειδιών SRTP, αλλάζοντας σε SRTP για τη ροή πολυμέσων.
Εκμετάλλευση Κατάστασης Αγώνα: Ένας επιτιθέμενος μπορεί να εκμεταλλευτεί μια κατάσταση αγώνα στέλνοντας ένα μήνυμα DTLS ClientHello πριν από τον νόμιμο χρήστη, πιθανώς χρησιμοποιώντας μια μη έγκυρη σουίτα κρυπτογράφησης όπως το TLS_NULL_WITH_NULL_NULL. Αυτό προκαλεί ένα σφάλμα DTLS στον διακομιστή, αποτρέποντας την εγκαθίδρυση της συνεδρίας SRTP.
Σάρωση Θυρών: Ο επιτιθέμενος πρέπει να μαντέψει ποιες θύρες UDP χειρίζονται τις εισερχόμενες συνεδρίες πολυμέσων, στέλνοντας μηνύματα ClientHello με τη σουίτα κρυπτογράφησης null σε αυτές τις θύρες για να ενεργοποιήσει την ευπάθεια.
Διάγραμμα Επίθεσης: Η ακολουθία περιλαμβάνει πολλαπλά μηνύματα ClientHello που στέλνονται από τον επιτιθέμενο στον διακομιστή, διακεκομμένα με νόμιμα μηνύματα σήμανσης και DTLS, οδηγώντας σε αποτυχία χειραψίας λόγω της εσφαλμένης σουίτας κρυπτογράφησης.
Ασφαλής Δοκιμή: Χρησιμοποιώντας εργαλεία όπως το Scapy, οι επιτιθέμενοι αναπαράγουν μηνύματα DTLS ClientHello στοχεύοντας συγκεκριμένες θύρες πολυμέσων. Για ηθική δοκιμή, έγιναν τροποποιήσεις στο Chromium (π.χ., JsepTransport::AddRemoteCandidates) για να μιμηθούν τη συμπεριφορά του θύματος με ασφάλεια.
Μέτρα Μετριασμού: Οι λύσεις περιλαμβάνουν την απόρριψη πακέτων από μη επαληθευμένες διευθύνσεις, όπως εφαρμόζεται σε νεότερες εκδόσεις βιβλιοθηκών όπως το libnice. Η κύρια λύση τονίζει την εμπιστοσύνη στη διαδικασία επικύρωσης ICE και την επεξεργασία μόνο πακέτων από επικυρωμένους συνδυασμούς IP και θύρας.
Ρυθμίσεις Διακομιστή DTLS: Περίπτωσεις όπου ο περιηγητής λειτουργεί ως διακομιστής DTLS ή όταν ο διακομιστής πολυμέσων δεν χρησιμοποιεί προσωρινές θύρες για τις συνεδρίες πολυμέσων δεν είναι επιρρεπείς σε αυτή την ευπάθεια.
Αυτή η ευπάθεια αναδεικνύει την ευαίσθητη ισορροπία στις διαδικασίες αρχικοποίησης συνεδριών πολυμέσων και την ανάγκη για ακριβή χρονομέτρηση και μηχανισμούς επικύρωσης για την αποφυγή εκμετάλλευσης. Συνιστάται στους προγραμματιστές να εφαρμόσουν τις προτεινόμενες διορθώσεις ασφαλείας και να διασφαλίσουν ισχυρές διαδικασίες επικύρωσης για να μετριάσουν τέτοιες ευπάθειες.
Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
