Killertool bringt angeblich jeden Server zum Absturz

Robert Lee und Jack Louis vom schwedischen Sicherheitsspezialisten Outpost24 haben nach eigenen Angaben einen Angriffspunkt im TCP-Protokoll entdeckt, der es jedermann ermöglicht, beliebige Server im Internet mittels einer DoS-Attacke lahmzulegen. Die einzige Möglichkeit, wieder Zugang zum Server zu bekommen, sei ein Reboot.

Lee und Louis wollen die Lücke bereits im Jahre 2005 bei ihrer Arbeit am TCP-Analysetool Unicornscan entdeckt haben, mit dem sie den Angriff erfolgreich ausführten. Sie hätten jedoch entschieden, ihr Wissen geheim zu halten, um nach einem Fix zu suchen. Da sie auch drei Jahre nach ihrer Entdeckung keine Lösung für das Problem gefunden haben, wollen sie die Details nun auf der T2-Sicherheitskonferenz in Helsinki am 17. Oktober veröffentlichen, sagte Lee in einem Interview mit dem englischen Onlinedienst The Register.

Im Vorfeld der Konferenz haben Lee und Louis andere Sicherheitsforscher eingeweiht, die die Gefährlichkeit der Lücke größtenteils bestätigen. Jedermann könne in weniger als fünf Minuten jeden beliebigen Web- oder Mailserver, zum Beispiel www.google.com, zum Absturz bringen. Um den Angriff auszuführen, sei nur eine schmalbandige Internetverbindung erforderlich, etwa per Telefonmodem.

Daneben gibt es kritische Stimmen, beispielsweise die Robert Grahams, des CEOs von Errata Security, dem die Sache komisch vorkommt. Lee und Louis hätten tief in das TCP-Protokoll einsteigen müssen, um solch einen Fehler zu finden. Es sei unwahrscheinlich, dass man dazu nach drei Jahren keine Lösung präsentieren könne, wenn man ernsthaft an einer arbeite.

Graham vermutet, dass es Lee und Louis gelungen sei, für alle 65536 möglichen TCP-Ports einen Time-Wait-Zustand zu erzeugen. Der Time-Wait-Zustand sperrt eine TCP-Port-zu-Port-Verbindung für längere Zeit nach dem Schließen. Das ist notwendig, da auch nach dem Schließen der Verbindung in einem paketorientierten Netzwerk noch Pakete ankommen können, die zur bereits geschlossenen TCP-Verbindung gehören. Ohne die zeitgesteuerte Sperre könnten die alten Pakete versehentlich einer neuen Verbindung zugeordnet werden.

Der Trick sei nun, dem Server eine extrem langsame TCP-Verbindung vorzugaukeln, die einige Jahre braucht, um ein paar Bytes zu versenden. Demnach wird der Server den Time-Wait-Zustand mehrere Jahre aufrechterhalten, während der Client die Verbindung komplett schließt. Für einen derartigen Angriff gebe es aber Lösungen, so Graham. Es sei möglich, den TCP-Stack so zu modifizieren, dass eine TCP-Verbindung im Time-Wait-Zustand kaum Ressourcen verbrauche. So würden selbst Milliarden von solchen Zombie-Verbindungen keinen Absturz verursachen.