Kristian Kielhofner ha scoperto e documentato un pericoloso baco del controller Gigabit Ethernet Intel 82574L.
Se una porta ethernet gestita da questo chip riceve un pacchetto specifico, il controller ethernet si blocca come se fosse guasto: i led dei link sul controller e sulla relativa porta dello switch si spengono. Il sistema operativo crede che ci sia un errore hardware sulla scheda di rete.
Un reboot del sistema operativo o un reload del modulo kernel relativo al dispositivo non risolve la situazione: all’avvio la scansione dei dispositivi darà un errore sul controller ethernet bloccato. L’unica soluzione è togliere l’alimentazione e riaccendere il computer, rendendo vano ogni tipo di controllo remoto che non includa il controllo dell’alimentazione.
Il problema risiede nell’hardware del controller, non dipende dai driver del sistema operativo caricato.
Kristian ha reso disponibile anche un metodo per riprodurre il problema per poter verificare in laboratorio se i propri sistemi sono interessati dal baco.
Servono due computer, attaccante e vittima, collegati attraverso un normale switch e uno dei due pacchetti della morte, non serve che i computer abbiano un indirizzo IP valido. Sull’attaccante si esegue tcpreplay con questa riga di comando:
# tcpreplay -v -i eth0 pod-icmp-ping.pcap
Il file .pcap è uno dei due pacchetti della morte, se la scheda di rete ha un nome diverso da eth0, modificare il parametro di conseguenza. Se la scheda di rete della vittima è interessata dal baco, questa andrà irrimediabilmente offline fino al prossimo spegnimento. Se si vuole indirizzare il pacchetto verso una specifica scheda anziché in broasdcast, indicare il MAC address della scheda a cui inviare il pacchetto:
# tcpreplay -edit --enet-dmac=00:aa:11:bb:22:cc -v -i eth0 pod-icmp-ping.pcap
La soluzione di un eventuale problema della scheda di rete passa attraverso l’aggiornamento del firmware della scheda, distribuito dal fornitore dell’hardware. (via ISC)
Lascia un commento