Нова версия на атаката SAD DNS за подмяна на фалшиви данни в DNS кеша

Група изследователи от Калифорнийския университет в Ривърсайд публикува нов вариант на атаката SAD DNS (CVE-2021-20322), който работи въпреки защитата, добавена миналата година за блокиране на уязвимостта CVE-2020-25705. Новият метод е по същество аналогичен на уязвимостта от миналата година и се различава само по използването на друг тип ICMP пакети за проверка на активните UDP портове. Предложената атака позволява да се извърши подмяна на фалшиви данни в кеша на DNS сървъра, което може да се използва за подмяна на IP адреса на произволен домейн и пренасочване на запитванията към домейна на сървъра на нападателя.

Предложеният метод е работоспособен само в мрежовия стек на Linux поради специфичната работа на механизма за обработка на ICMP пакети в Linux, който е източник на изтичане на данни, опростяващи определянето на номера на UDP порта, използван. сървъра. за изпращане на външно запитване. Промените, блокиращи изтичането на информация, бяха приети в ядрата на Linux в края на август (поправката влезе в състава на ядро 5.15 и септемврийските актуализации на LTS клоновете на ядрото). Поправката се състои в преминаването към използване в мрежовите кешове на алгоритъма за хеширане SipHash вместо Jenkins Hash. Статусът на премахването на уязвимостта в дистрибуциите може да бъде оценен на следните страници: Debian, RHEL, Fedora, SUSE, Ubuntu.

Според данни от изследователите, установили проблема, уязвимостта е предоставена на около 38% от наличните в мрежата отворени резолватори, включително популярни DNS услуги като OpenDNS и Quad9 (9.9.9.9). Що се отнася до сървърния софтуер, атаката може да бъде проведена при използване на Linux сървър с такива пакети като BIND, Unbound и dnsmasq. Проблемът не се проявява на DNS сървъри, работещи с Windows и BSD системи. За успешно извършване на атаката е необходимо да се използва спуфинг на IP, т.е. трябва доставчикът на атакуващия да не блокира пакетите с фалшив изходящ IP адрес.

Напомняме, че атаката SAD DNS позволява да се заобиколи защитата, добавена в DNS-сървърите за блокиране на класическия метод за отравяне на DNS кеша, предложен през 2008 г. от Дън Камински (Dan Kaminsky). Методът на Камински манипулира незначителния размер на полето с иденфикационния номер на DNS запитването, което е само 16 бита. За да се подбере правилния идентификатор на DNS транзакцията, необходим за спуфинг на името на хоста, е достатъчно да се изпратят около 7000 запитвания и да се симулират около 140 хиляди фалшиви отговора. Атаката се състои в изпращане на голям брой пакети с фалшива привързаност към IP и с различни идентификатори на DNS транзакцията към DNS резолвера. За предотвратяване на кеширането на първия отговор, във всеки фалшив отговор се посочва малко променено име на домейн (1.example.com, 2.example.com, 3.example.com и т.н.).

За защита от този вид атака производителите на DNS сървъри реализираха случайно разпределение на номера на изходящите мрежови портове, от които се изпращат запитванията за резолвинг, което компенсира недостатъчно големия размер на идентификатора. След внедряване на защитата, за изпращане на фалшив отговор, освен подбора на 16-битния идентификатор, стана необходимо да се подбере и един от 64 хиляди порта, което увеличи броя на опции за подбиране до 2^32.

Методът SAD DNS позволява значително да се опрости определянето на номера на мрежовия порт и да се сведе атаката до класическия метод на Камински. Атакуващият може да определи достъпа до неизползвани и активни UDP портове, използвайки изтичането на информация за активността на мрежовите портове при обработката на отговорни ICMP пакети. Методът позволява да се намали броят на вариантите за подбиране с 4 реда — 2^16+2^16 вместо 2^32 (131_072 вместо 4_294_967_296). Изтичането на информация, което позволява бързо да се определят активни UDP портове, е причинено от недостатък в кода за обработка на ICMP пакети с запитвания за фрагментиране (флаг ICMP Fragmentation Needed) или пренасочвания (флаг ICMP Redirect). Изпращането на подобни пакети променя състоянието на кеша в мрежовия стек, което позволява на база реакцията на сървъра да се определи кой от UDP портовете е активен, а кой не.

Сценарият на атаката: Когато DNS резолвърът се опитва да определи доменно име, той изпраща UDP заявка до обслужващия домен DNS сървър. В момента, в който резолвърът очаква отговор, атакуващият може бързо да определи номера на източния порт, който е използван за изпращане на заявката, и да изпрати подправен отговор, представяйки се за обслужващия домен DNS сървър, използвайки спуфинг. IP адресиDNS резолвърът ще постави в кеша предадените в подправения отговор данни и за известно време на всички останали DNS заявки за доменното име ще връща подменения от атакуващия IP адрес.

Източник: opennet.ru