CVE-2017-1000411

OpenFlow Plugin ve OpenDayLight Controller'ın Nitrogen, Carbon, Boron versiyonları; birden fazla 'süresi dolmuş' akışın CONFIG DATASTORE bellek kaynağını tüketmesi sonucu CONTROLLER kapanmasına yol açan bir açık içermektedir. Openflow Plugin REST API'sine 'idle-timeout' ve 'hard-timeout' içeren birden fazla farklı akış gönderilirse, süresi dolan akışlar, JVM boyutu ile belirlenen kaynak tahsisleri aşıldığında sonunda denetleyiciyi çökertecektir. Yüklü olan akışlar (zaman aşımı ayarlanmış olanlar) ağdan (ve dolayısıyla denetleyicinin operasyonel DS'inden) kaldırılsa da, süresi dolmuş girdiler hala CONFIG DS içinde yer almaya devam eder. Saldırı hem KUZEY veya GÜNEY yönünden kaynaklanabilir. Yukarıdaki açıklama kuzey yönlü bir saldırı içindir. Güney yönlü bir saldırı ise, bir saldırganın akış doldurma (flow flooding) saldırısı denemesiyle ortaya çıkabilir ve akışlar zaman aşımıyla geldiği için bu saldırı başarılı olmaz. Ancak, saldırgan şimdi CONTROLLER taşma saldırısında (kaynak tüketimi) başarılı olacaktır. Ağ (gerçek akış tabloları) ve operasyonel DS yalnızca (~)%1 oranında dolu olsa bile, denetleyici kaynak tüketimi talebinde bulunur. Bu durum, yüklü akışların zaman aşımı üzerine ağdan kaldırılması nedeniyle gerçekleşir.