Cisco y Microsoft publican parche para la vulnerabilidad "Sockstress", revelada en octubre de 2008

^L

a compañía sueca Outpost24 anunció a principios de octubre de 2008 que conocía una vulnerabilidad en el propio protocolo TCP que afectaba (en mayor o menor medida) a todo dispositivo que implementase una pila TCP. Se dio a conocer como Sockstress. Algunos apuntaban que era necesario bombardear de forma continuada y con un cierto tipo de paquetes al servidor. Otros que con sólo unos minutos de tráfico se puede hacer que el sistema quede sin recursos. Según Robert E. Lee de Outpost24, dependía del dispositivo. Lo normal es que permaneciesen caídos mientras durase el ataque (como ocurre con un DDoS, por ejemplo), pero se habían dado casos en que se agotan sus recursos y se necesita un reinicio con una mínima cantidad de tráfico.

Outpost24 decían conocer el problema desde 2005, pero no fue hasta 2008 que se decidió a hacerlo público. Una vez avisados todos los fabricantes, han necesitado un año para publicar un parche que lo soluciona. El CVE de la vulnerabilidad es el CVE-2008-4609. Ni Microsoft ni Cisco han dado demasiados detalles al respecto, y han publicado parches para sus sistemas operativos (Windows y IOS). En el boletín que corrige entre otros, este problema, Microsoft describe el fallo como un error en la forma en que Windows maneja un alto número de conexiones TCP establecidas que podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través del envío masivo de peticiones TCP especialmente manipuladas. Puede incrementarse el alcance si se establece el "window size" de una petición TCP a un valor muy bajo incluso a cero.

En un futuro cercano, veremos a nuevos fabricantes que tendrán que solucionar este mismo fallo.