CVE-2022-26143: vector de ataque DDoS de reflexión/amplificación TP240PhoneHome

El fallo reside en unos 2.600 sistemas Mitel MiCollab y MiVoice Business Express que están incorrectamente aprovisionados y, por este motivo, actúan como pasarelas de centralita a Internet y tienen un modo de prueba que no debería estar expuesto a Internet. En su blog, la Fundación Shadowserver explica que la instalación de prueba "puede ser usada para lanzar un ataque DDoS de hasta 14 horas de duración por medio de un único paquete, lo que resulta en una relación de amplificación de paquetes que establece un récord de 4.294.967.296:1".

 La semana pasada, Akamai reveló un método DDoS muy similar denominado "Reflexión de caja intermedia TCP", que aprovecha los cortafuegos vulnerables y los sistemas de cumplimiento de políticas de filtrado de contenido en cajas intermedias para lograr un factor de amplificación de 65x

Poder de amplificación enorme

Los investigadores han explicado, además, que "hay que señalar que esta capacidad de iniciación de ataques con un solo paquete tiene el efecto de impedir el rastreo por parte de los operadores de red para conocer quién inició los ataques falsos. Esto ayuda a enmascarar la infraestructura de generación de tráfico de ataque, haciendo menos probable que el origen del ataque pueda ser rastreado"

2.600 dispositivos Mitel PBX vulnerables

Un controlador en los sistemas de Mitel contiene un comando. Este puede producir teóricamente 4.294.967.294 paquetes a lo largo de 14 horas con un tamaño máximo posible de 1.184 bytes.

Además de actualizar los sistemas, los usuarios de Mitel pueden detectar y bloquear el tráfico entrante inapropiado en el puerto UDP 10074 con herramientas estándar de defensa de la red. Se aconseja a quienes reciban el ataque que utilicen herramientas específicas de defensa para DDoS.

Mitel ha publicado actualizaciones de software que deshabilitan el acceso público a la función de prueba, al tiempo que describió el problema como una vulnerabilidad de control de acceso que podría ser explotada para obtener información sensible.

Los primeros ataques que utilizaron el exploit comenzaron el 18 de febrero y se dirigieron a instituciones financieras, empresas de logística y de gaming.

Fuentes:
https://www.genbeta.com/actualidad/4-000-millones-paquetes-14-horas-descubren-nuevos-ataques-ddos-record-dificiles-rastrear-1

https://www.shadowserver.org/news/cve-2022-26143-tp240phonehome-reflection-amplification-ddos-attack-vector/

https://blog.cloudflare.com/cve-2022-26143/