mi sono perso qualcosa? - FreeBSD Security Advisory FreeBSD-SA-01:52.fra

----- Forwarded message from FreeBSD Security Advisories <security-advisories@FreeBSD.org> -----
> Topic:		Denial of service using fragmented IPv4 packets
> Category:       kernel
> Announced:      2001-08-06
> Credits:        "James Thomas" via NetBSD
> Affects:        All releases of FreeBSD 3.x, 4.x prior to 4.4,
>                 FreeBSD 4.3-STABLE prior to the correction date
[...]
> IP datagram fragments destined to the target system will be queued for
> 30 seconds, to allow fragmented datagrams to be reassembled.  Until
> recently, there was no upper limit in the number of reassembly queues.
> Therefore, a malicious party may be able to transmit a lot of bogus
> fragmented datagrams (with different IPv4 identification field) and
> cause the target system to exhaust its mbuf pool, preventing further
> network traffic processing or generation while the starvation
> condition continues.

...eccetera eccetera.

ora, mi sono perso qualcosa? scusate la mail probabilmente inutile, ma a
quanto ho sempre saputo problemi di questo tipo erano gia` stati corretti da
tempo, i frammenti e tutto quanto non dovrebbero essere piu` un problema.

allora, c'e` qualcosa che non va:

1. questo DoS e` SEMPRE valido, visto che se mando un flood di frag da una
connessione con molta banda non so quali sistemi potrebbero resistere

oppure

2. non ho capito il concetto di cui sopra, ovvero il flood di datagrammi
frammentati

e mi viene da pensare:

1. le voci che giravano a proposito di microsoft che ha utilizzato lo stack
tcp di bsd -> allora anche i sistemi microsoft sono vulnerabili a tutto
cio`?
2. l'opzione nel kernel di BSD (qualcosa tipo 'stop fragmented packets', ora
non ce l'ho sottomano) ha una qualche utilita`? se si`, perche` non e` stata
inclusa nei workaround?


...perdonate l'ignoranza.


saluti & buone vacanze


---

lorenzo


ps: utile postare messaggi cosi` 'lameristici' durante questo periodo.. con
tutti in ferie, perlomeno non si fa brutta figura con tutta la lista :)

saluti

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List