Уязвимости KeyTrap и NSEC3, които засягат повечето реализации на DNSSEC

В различни реализации на протокола DNSSEC бяха открити две уязвимости, засягащи DNS резолвери като BIND, PowerDNS, dnsmasq, Knot Resolver и Unbound. Тези уязвимости позволяват отказ на обслужване на DNS резолверите, които извършват валидация чрез DNSSEC, поради възникване на високо натоварване на CPU, което затруднява обработката на други заявки. За осъществяване на атака е достатъчно да се изпрати заявка към DNS резолвер, който използва DNSSEC, водеща до достъп до специално оформена DNS зона на сървъра на атакуващия.

Идентифицированные проблемы:

• CVE-2023-50387 (кодовое имя KeyTrap) — при обращении к специально оформленным DNS-зонам приводит к отказу в обслуживании из-за создания значительной нагрузки на CPU и длительного выполнения проверки DNSSEC. Для совершения атаки необходимо разместить на подконтрольном атакующему DNS-сервере доменную зону с вредоносными настройками, а также добиться обращения этой зоне рекурсивного DNS-сервера, отказа в обслуживании которого добивается атакующий.

  Зловредните настройки се свеждат до използването на зона, комбинираща конфликта между ключовете, записи RRSET и цифрови подписи. Опитът за проверка с използването на тези ключове води до изпълнението на дълги ресурсоемки операции, които могат изцяло да натоварят CPU-то и да блокират обработката на други заявки (например, твърди се, че при атака срещу BIND е успяло да спре обработката на други заявки за 16 часа).
• CVE-2023-50868 (кодовое имя NSEC3) — отказ в обслуживании из-за выполнения значительных вычислений при вычислении хэшей в записях NSEC3 (Next Secure v3) при обработке специально оформленных ответов DNSSEC. Метод атаки напоминает первую уязвимость, за исключением того ,что на DNS-сервере злоумышленника создаётся специально оформленный набор записей NSEC3 RRSET.

Отбелязва се, че появата на споменатите уязвимости е предизвикана от определението в спецификацията на DNSSEC възможността DNS-серверът да изпраща всички налични криптографски ключове, докато резолверите трябва да обработват всички получени ключове, докато проверката не завърши успешно или всички получени ключове не бъдат проверени.

Като мерки за блокиране на уязвимостите в резолвърите е ограничен максималният брой на DNSSEC ключовете, участващи в процеса на изграждане на веригата на доверие, както и максималният брой изчисления на хешове за NSEC3, а повторните опити за проверка за всеки RRSET (комбинации от ключове и подписи) и всеки отговор са лимитирани. сървър.

Уязвимостите са отстранени в актуализациите на Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) и BIND (9.16.48, 9.18.24 и 9.19.21). Статусът на отстраняване на уязвимостите в дистрибутивите може да се оцени на следните страници: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.

В версиите на DNS сървъра BIND 9.16.48, 9.18.24 и 9.19.21 са отстранени допълнителни уязвимости:

• CVE-2023-4408 — разбор больших DNS-сообщений может привести к созданию высокой нагрузки на CPU.
• CVE-2023-5517 — запрос специально оформленной обратной зоны может привести к аварийному завершению из-за срабатывания assert-проверки. Проблема проявляется только в конфигурациях с включённой настройкой «nxdomain-redirect».
• CVE-2023-5679 — рекурсивное определение хоста может привести к аварийному завершению из-за срабатывания assert-проверки на системах с включённой поддержкой DNS64 и «serve-stale» (настройки, stale-cache-enable и stale-answer-enable) .
• CVE-2023-6516 — специально оформленный рекурсивные запросы могут привести к исчерпанию доступной процессу памяти.

Източник: opennet.ru