发布日期：2000-01-15
更新日期：2000-01-15

受影响系统：

HP-UX 11.0
HP-UX 10.30

不受影响系统：

HP-UX 10.20

描述：

---

  对于一个建立的网络连接,HP Unix采用一种自己特有的机制来找到最大路径MTU(PMTU).
  然而这种发现机制由一些安全问题,使得攻击者可以将HPUX服务器当作一个"放大器",
  用来进行拒绝服务(DoS)攻击.在特定条件下,被利用的HP服务器会发送大量的数据,这些
  包比其接收的包要多的多.攻击者可以伪造包的源地址,向该HP服务器发送少量的特殊的
  数据包,  HP服务器就会向伪造的IP地址发送大量的应答包.这可能导致该IP的主机拒绝
  服务.
  
  HP的路径MTU发现协议通过并发发送多个ICMP包来实现.这种拒绝服务攻击原理的细节还没
  有公开,我们猜测可能是利用发送特殊的UDP包,使一些UDP服务发生连锁反应,导致拒绝服务.

(注: MTU是最大传输单元,由硬件决定.PMTU是两台主机之间路径上的MTU,不同方向上PMTU可能
     不同 )

      
<* 来源 : advisory: HPSBUX0001-110: Security Vulnerability with PMTU strategy (HP)
   相关链接:  http://www.hp.com/
*>

建议：

---

HP公司提供了一些解决措施:

为了让每次启动后这些参数都有效,增加下列行到/etc/rc.config.d/nddconf中:

TRANSPORT_NAME[<index>]=ip
NDD_NAME[<index>]=ip_pmtu_strategy
NDD_VALUE[<index>]=1

<index>的值是从0到99的整数.在这个文件中,第一个参数使用<index>=0,第二个参数用
<index>=1,以此类推.

一旦已经添加了这些参数设置,执行下列命令:

/usr/bin/ndd -c

这条命令将会设置/etc/rc.config.d/nddconf文件中所指定的所有参数.

为了验证是否参数已经正确设置,执行下列命令:

/usr/bin/ndd -get /dev/ip ip_pmtu_strategy

它应当返回1.

另一个改变ip_pmtu_strategy参数的方法是使用下列NDD命令:

/usr/bin/ndd -set /dev/ip ip_pmtu_strategy 1

不过这样设置的结果在下次系统重启动以后就会丢失,如果/etc/rc.config.d/nddconf中没有设
置该参数,系统将会用缺省值 2 来重新设置.

浏览次数：7257
严重程度：0（网友投票）