Serviço:
Memcached
Descrição do serviço:
Memcached é um sistema de cache em memória distribuído de propósitos gerais.
É frequentemente utilizado para acelerar sites dinâmicos orientados a banco de dados, cacheando dados e objetos na memória RAM para reduzir o número de vezes que uma fonte de dados externa (como um banco de dados ou uma API) deve ser acessada.
Por padrão configurado na porta 11211 tanto TCP quanto UDP.
Vulnerabilidade:
Pode ser utilizado para ataques de negação de serviço, distribuído e com reflexão e amplificação. Exposição de informações sensíveis.
Descrição do ataque:
Ataques de amplificação: os invasores enviam uma solicitação de pacote baseada em UDP de pequeno tamanho ao servidor memcached. Os pacotes são falsificados para parecer como se fossem enviados do alvo pretendido do ataque DDoS. Em resposta, o servidor memcached responde enviando o alvo falsificado uma resposta massivamente desproporcional.
https://www.senki.org/memcached-on-port-11211-udp-tcp-being-exploited
https://minutodaseguranca.blog.br/12043-2/
https://www.security.unicamp.br/blog/24-amplificacao-udp/
Verificação:
- https://vtest.cais.rnp.br/cgi-bin/check_vul.pl
- nmap -p 11211 [IP] --script memcached-info
- telnet [IP] 11211
Executar Telnet de algum computador fora da sua rede e executar um dos comandos abaixo para ver se o servidor está respondendo a consultas:
#stats
ou
#stats items
Solução:
- Se o servidor precisa estar acessível remotamente na Internet, as portas usadas pelo sistema precisam ser tratadas no firewall ou filtradas.
- Por padrão ele escuta em toda a interface disponível, deve-se alterar para limitar a uma interface específica como ' 127.0.0.1 '.
- Caso o servidor suporte autenticação de controle de acesso ou recursos de criptografia, recomenda-se a utilização deles.
- É recomendado logar os acessos solicitados, incluindo falhas de autenticação ou autorizações.