Исследователь опубликовал PoC для DoS до аутентификации в удалённых службах на основе UDP (Windows Deployment Services)

Исследователь Чжинян Пэн опубликовал в открытом доступе proof of concept (PoC) и подробности по своему отчёту в Microsoft по выявлению уязвимости, которую можно использовать для удалённой атаки типа Denial-of-Service (DoS) при использовании ошибки до аутентификации в удалённых службах на основе UDP, в том числе службе развёртывания Windows Deployment Services (WDS). В Microsoft посчитали эту ошибку несущественной.

Системы WDS широко применяются в корпоративных средах. Исследователь выяснил, что может удалённо запустить DoS-атаку и вывести из строя сеть WDS без аутентификации (preauth) или взаимодействия с пользователем (0-click).

Решение на базе WDS реализует роль сервера Microsoft, позволяя выполнять оптимизированное и безопасное сетевое развёртывание ОС Windows (например, Windows 10/11, Windows Server) на нескольких компьютерах без физических носителей.

Системы развёртывания Windows предоставляет удалённому пользователю простую службу FTP для загрузки некоторых ресурсов. Каждый раз, когда пользователь отправляет пакет в эту службу FTP через порт 69, тогда служба создаёт объект CTftpSession для управления сеансом и переключает на EndpointSessionMapEntry. Оказалось, что опция EndpointSessionMapEntry не накладывает ограничений на количество сеансов.

В итоге злоумышленник может подделывать клиентские IP-адреса и номера портов, многократно создавая новые сеансы до тех пор, пока системные ресурсы системы не будут исчерпаны и будет отработана DoS-атака.

Обнаруженная исследователем ошибка позволяет неаутентифицированным злоумышленникам вызывать сбой систем Windows с помощью некорректных FTP-запросов. В тестовой среде Пэн показал, что при достижении показателя использования памяти достигало 15 ГБ и система WDS выходила из строя,