Ataque de Desincronización Impulsado por Navegador demostrado en Black Hat USA

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

El investigador de seguridad James Kettle elaboró su último estudio sobre el "ataque de desincronización impulsado por el navegador" en un informe técnico reciente presentado en el Black Hat USA 2022.

Como se explicó, un ataque de desincronización impulsado por el navegador es una nueva táctica de ataque que revoluciona el contrabando de solicitudes HTTP convencional.

La explotación de estos ataques permite potencialmente que un adversario apunte a sitios web, instale puertas traseras, envenene los grupos de conexiones del navegador e introduzca gusanos desincronizados.

Mientras que los ataques de desincronización convencionales involucran el envenenamiento de la conexión entre los servidores front-end y back-end, el ataque de desincronización impulsado por el navegador tiene como objetivo el enlace entre el servidor front-end y el navegador.

Eso significa que un atacante puede usar dichos ataques para apuntar a sitios web con contrabando de solicitudes del lado del servidor al envenenar la conexión de la víctima objetivo con el servidor del sitio web.

Anomalías HTTP que desencadenan el ataque

Específicamente, un ataque de desincronización impulsado por el navegador implica la explotación de cuatro vulnerabilidades diferentes en el manejo de HTTP.

Primero, observaron cómo revertir los proxies solo validar la primera solicitud enviada a través de una conexión al identificar el encabezado del Host, ignorando la segunda solicitud.

Por lo tanto, un atacante podría enviar dos solicitudes al destino objetivo para obtener acceso al host.

En segundo lugar, observaron el segundo problema (relacionado con el primero), donde el front-end usa el encabezado Host de la primera solicitud para determinar el backend de destino y luego enruta todas las solicitudes posteriores del mismo cliente al mismo destino.

Al explicar el impacto de este problema en su libro blanco, los investigadores afirmaron:

"Esta no es una vulnerabilidad en sí misma, pero permite que un atacante golpee cualquier back-end con un encabezado de Host arbitrario, por lo que puede encadenarse con ataques de encabezado de Host como envenenamiento por restablecimiento de contraseña, envenenamiento de caché web y obtener acceso a otros hosts virtuales."

Luego, el investigador notó la posibilidad de detectar el contrabando de solicitudes de conexión bloqueada, y el cuarto problema fue la desincronización compatible con el navegador que también permitió al investigador comprometer las cuentas de los usuarios de Amazon.

Además de Amazon, el investigador también demostró comprometer numerosos servicios destacados como Cisco Web VPN, Akamai y Pulse Secure VPN.

Los investigadores han elaborado los aspectos técnicos detrás de estos ataques en su trabajo de investigación, y también sugieren la perspectiva de futuras investigaciones.


Fuente:
Latest Hacking News
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta