Cisco y Microsoft publican parche para la vulnerabilidad “Sockstress”, revelada en octubre de 2008

Cisco y Microsoft han sido los primeros fabricantes en publicar parche para esta sonada vulnerabilidad en el propio protocolo TCP. Fue descubierta por la compañía Outpost24 en octubre de 2008 causando un gran revuelo. Desde entonces poco más se aportó al respecto.

En un movimiento coordinado entre Microsoft y Cisco, ambos han publicado parches para su implementación TCP. La compañía sueca Outpost24 anunció a principios de octubre de 2008 que conocía una vulnerabilidad en el propio protocolo TCP que afectaba (en mayor o menor medida) a todo dispositivo que implementase una pila TCP.

Se dio a conocer como Sockstress. Algunos apuntaban que era necesario bombardear de forma continuada y con un cierto tipo de paquetes al servidor. Otros que con sólo unos minutos de tráfico se puede hacer que el sistema quede sin recursos.

Según Robert E. Lee de Outpost24, dependía del dispositivo. Lo normal es que permaneciesen caídos mientras durase el ataque (como ocurre con un DDoS, por ejemplo), pero se habían dado casos en que se agotan sus recursos y se necesita un reinicio con una mínima cantidad de tráfico. Outpost24 decían conocer el problema desde 2005, pero no fue hasta 2008 que se decidió a hacerlo público. Una vez avisados todos los fabricantes, han necesitado un año para publicar un parche que lo soluciona. El CVE de la vulnerabilidad es el CVE-2008-4609.

 Ni Microsoft ni Cisco han dado demasiados detalles al respecto, y han publicado parches para sus sistemas operativos (Windows y IOS). En el boletín que corrige entre otros, este problema, Microsoft describe el fallo como un error en la forma en que Windows maneja un alto número de conexiones TCP establecidas que podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través del envío masivo de peticiones TCP especialmente manipuladas.

Puede incrementarse el alcance si se establece el “window size” de una petición TCP a un valor muy bajo incluso a cero. En un futuro cercano, veremos a nuevos fabricantes que tendrán que solucionar este mismo fallo.

  Fuente

Entendemos que Hispasec se refiere al MS09-048, publicado esta semana, que se detalla en http://www.microsoft.com/spain/technet/ … 9-048.mspx Como ya indicamos ayer, procede instalar los parches indicados, lanzando un windowsupdate.

saludos

ms, 10-9-2009