Уязвимости във FreeBSD, IPnet и Nucleus NET, свързани с грешки при реализацията на компресията в DNS

Изследователските групи на Forescout Research Labs и JSOF Research публикуваха резултатите от съвместно проучване на сигурността на различни реализации на схемата за компресия, използвана за опаковане на повтарящи се имена в съобщенията DNS, mDNS, DHCP и IPv6 RA (опаковане на дублиращи се части от домейни в съобщения, включващи няколко имена). В хода на проведената работа бяха открити 9 уязвимости, обобщени под кодовото име NAME:WRECK.

Проблеми са установени във FreeBSD, а също и в мрежовите подсистеми IPnet, Nucleus NET и NetX, които се разпространяват в операционни системи в реално време като VxWorks, Nucleus и ThreadX, използвани в устройства за автоматизация, хранилища, медицински уреди, авионика, принтери и потребителска електроника. Предполага се, че уязвимостите са на разположение на най-малко 100 милиона устройства.

• Уязвимостта във FreeBSD (CVE-2020-7461) позволяваше извършване на изпълнение на код чрез изпращане на специално оформен DHCP пакет от атакуващ, намиращ се в една локална мрежа с жертвата, чиято обработка от уязвимия DHCP клиент водела до препълване на буфера. Проблемът бе смекчен от факта, че процесът dhclient, в който присъства уязвимостта, се изпълняваше с понижени привилегии в изолирана среда Capsicum, от която беше необходимо откритие на още една уязвимост за излизане.

  Същността на грешката е в неправилната проверка на параметрите в пакета, върнат от DHCP сървъра с 119-та опция DHCP, позволяваща предаване на списък „domain search“ за резолвера. Неправилното изчисление на размера на буфера, необходим за разполагане на разпакованите домейни имена, води до запис на контролирана от атакуващата страна информация извън зададения буфер. Проблемът във FreeBSD беше разрешен още на септември миналата година. Проблемът може да бъде експлоатиран само с достъп до локалната мрежа.
• Уязвимостта в интегрирания мрежов стек IPnet, използван в RTOS VxWorks, може потенциално да разреши изпълнението на код на страната на DNS клиентa поради неправилна обработка на компресията на DNS съобщения. Както се оказа, тази уязвимост първоначално е била открита от компанията Exodus още през 2016 година, но не е била поправена. Новото искане към компанията Wind River също остана без отговор и устройствата с IPnet остават уязвими.
• В стека TCP/IP Nucleus NET, поддерживаемого компанией Siemens, были обнаружены 6 уязвимостей, две из которых могут привести к удалённому выполнению кода, а четыре к отказу в обслуживании. Первая проблема связана с ошибкой в распаковке сжатых сообщений DNS, а вторая — с некорректным разбором меток доменных имён. Обе проблемы могут вызывать переполнение буфера при обработке специально сформированных ответов DNS.

  Для использования уязвимостей нападающему достаточно отправить специально сформированный ответ на любой легитимный запрос, отправленный с уязвимого устройства, например, через MTIM-атаку, внедряя его в трафик между DNS-сервером и жертвой. Если атакующий имеет доступ к локальной сети, то он может запустить DNS-сервер, который пытается атаковать уязвимые устройства, отправляя запросы mDNS в широковещательном режиме.

• Уязвимость в сетевом стеке NetX (Azure RTOS NetX), разработанном для ThreadX RTOS и открытом в 2019 году после перехода к Microsoft, привела лишь к отказу в обслуживании. Проблема вызвана ошибкой разбора сжатых сообщений DNS в реализации резолвера.

Из проверенных сетевых стеков, в которых не были найдены уязвимости, связанные с сжатием повторяющихся данных в DNS-сообщениях, обозначены проекты lwIP, Nut/Net, Zephyr, uC/TCP-IP, FreeRTOS+TCP, OpenThread и FNET. При этом первые два (Nut/Net и lwIP) вообще не поддерживают сжатие в DNS-сообщениях, а остальные осуществляют эту операцию без ошибок. Кроме того, отмечается, что ранее те же исследователи уже выявляли подобные уязвимости в стеках Treck, uIP и PicoTCP.

Източник: opennet.ru