Svelato un attacco DoS che sfrutta una vulnerabilità comune a migliaia di software e siti web

La Black Hat Security Conference 2019 si sta rivelando un vero e proprio terreno fertile per l’emersione di tante falle di sicurezza che caratterizzano sistemi operativi e servizi online che usano milioni di persone. Dopo il sistema di bypass del Face ID, ecco un altro avvertimento legato alla sicurezza che coinvolge sistemi informativi vulnerabili ad un attacco DoS.

I ricercatori Nathan Hauke e David Renardyche di Two Six Labs sono intervenuti alla Black Hat Security Conference 2019 (e ad un’intervista con Wired) dimostrando la presenza di una vulnerabilità comune su tre differenti serie di software in cui potrebbero essere lanciati grandi quantità di dati in specifici algoritmi che, tentando di elaborare i dati, arresterebbero i server in modo anomalo.

A differenza degli attacchi DDoS (Distributed Denial of Service) che necessitano di migliaia e migliaia di computer che inviano richieste multiple a specifici server per sovraccaricarli e mandarli in crash, un attacco DoS può sfruttare anche un solo computer per mettere in ginocchio i server di un sito web o di un servizio online.

I ricercatori hanno dimostrato il funzionamento dell’attacco DoS che sfrutta questa specifica vulnerabilità per dei software di lettura dei PDF, caricando un singolo file PDF di grandi dimensioni che ha causato l’arresto anomalo di un intero sito Web. Ma questa vulnerabilità è presente anche sui computer di rete virtuale (VNC) che potrebbero essere riempiti con dati spazzatura fino a quando i server si bloccano oppure ancora per la sicurezza dei login per i servizi cloud.

In ogni caso, gli attacchi sfruttano la grande quantità di elaborazioni eseguite dagli algoritmi. Se a questi algoritmi vengono forniti dati spazzatura sufficienti, possono causare interruzioni del server.

I ricercatori affermano di voler portare la consapevolezza di questa vulnerabilità all’attenzione degli sviluppatori e hanno creato uno strumento chiamato ACsploit che gli sviluppatori possono utilizzare per generare gli “input peggiori per gli algoritmi” e testare così i propri server.