DDoS-Attacken via Game-Server
Nach einem Bericht des Sicherheitsunternehmens PivX können Server von Multiplayer-Online-Spielen für "Distributed Denial of Service"-Attacken [DDoS] eingesetzt werden.
Von der Sicherheitslücke sind alle Game-Server betroffen, die Dienste des Spieleportals Gamespy unterstützen. Dazu gehören Spiele wie "Quake III: Arena", "Unreal Tournament 2003" und "Battlefield 1942".
PivX hat die Sicherheitslücke bereits im vergangen November entdeckt, aber erst jetzt zusammen mit einer Demonstration veröffentlicht.
PivXGefälschte UDP-Anfragen
Grund für die Sicherheitslücke ist die Tatsache, dass Server mit Gamespy-Networking-Code automatisch Antworten auf UDP-Anfragen [User Datagram Protocol] senden, ohne vorher die Adresse des Absenders zu überprüfen.
Ein Angreifer müsste also nur eine solche Statusanfrage an den Server richten und dabei die Adresse des Opfers als Absender angeben. Dabei wird die Anfrage bis zu 400fach verstärkt an das Opfer weitergegeben. Der Spiele-Server verstopft daraufhin den vermeintlichen Absender mit großen Informationsmengen.
Es handelt sich nicht gerade um eine neue Technik, das Problem wurde mit den Multiplayer-Spielen quasi wieder entdeckt.
Weitere betroffene Spiele sind "Quake", "Quake 2", "Half-Life", "Tribes", "Return to Castle Wolfenstein", "Medal of Honour: Allied Assault", "NeverWinter Nights" und "America's Army".
GamespyAuch Firewall schützt nicht
"Eine solche Attacke würde eine ganze Reihe von Firewalls durchdringen", sagte Geoff Shively, Sicherheitschef bei PivX. "Ein einziger Server könnte theoretisch eine solche Datenmenge produzieren, dass eine T1-Leitung mit 1,56 MBit/s überflutet und lahm gelegt wird."
Auch Rechner mit Linux-Betriebssystem sind betroffen. "Grundsätzlich gilt: Wenn der Server Gamespy unterstützt, ist er verwundbar", erklärte Mike Kristovich, Security Researcher für PivX.
Das Portal Gamespy arbeitet nach eigenen Angaben bereits an einem Patch für das Problem, um die Datenmenge zu limitieren, die der Server auf eine Statusabfrage hin versendet.