Уязвимости в FreeBSD, IPnet и Nucleus NET, свързани с грешки при реализиране на компресия в DNS

Изследователските групи Forescout Research Labs и JSOF Research публикуваха резултатите от съвместно проучване на сигурността на различни реализации на схемата за компресия, използвана за опаковане на повтарящи се имена в DNS, mDNS, DHCP и IPv6 RA (опаковане на дублиращи се части от домейни в съобщения, включващи няколко имена). В хода на проведената работа бяха открити 9 уязвимости, обобщени под кодовото име NAME:WRECK.

Проблемите са установени във FreeBSD, а също така в мрежовите подсистеми IPnet, Nucleus NET и NetX, които се използват в операционни системи в реално време VxWorks, Nucleus и ThreadX, прилагани в устройства за автоматизация, хранилища, медицински устройства, авионика, принтери и потребителска електроника. Предполага се, че уязвимостите засягат поне 100 милиона устройства.

• Уязвимостта във FreeBSD (CVE-2020-7461) позволяваше на нападателите, находящи се в една локална мрежа с жертвата, да организират изпълнение на свой код чрез изпращане на специално оформен DHCP пакет, обработката на който от уязвимия DHCP клиент водеше до препълване на буфера. Проблемът бе смекчен, тъй като процесът dhclient, в който беше уязвимостта, се изпълняваше със свалени привилегии в изолирана среда Capsicum, от която беше необходимо да се открие още една уязвимост, за да се излезе.

  Същността на грешката е в некоректната проверка на параметрите в връщания от DHCP сървъра пакет с 119-опцията DHCP, позволяваща предаване на списък „domain search“ за резолвера. Неправилното изчисление на размера на буфера, необходим за разполагане на разопакованите домейн имена, водеше до запис на информация, контролирана от нападателя, извън отредения буфер. Проблемът във FreeBSD беше отстранен още през септември миналата година. Проблемът може да бъде експлоатиран само при наличие на достъп до локалната мрежа.
• Уязвимостта в вградения мрежов стек IPnet, използван в RTOS VxWorks, позволява потенциално изпълнение на код от страна на DNS клиента поради неправилна обработка на компресията на DNS съобщенията. Както се оказа, тази уязвимост беше открита за първи път от компания Exodus още през 2016 година, но не беше коригирана. Новосъздадено запитване до компания Wind River също остана без отговор и устройствата с IPnet остават уязвими.
• В стека TCP/IP Nucleus NET, подкрепленном компанией Siemens, открити 6 уязвимости, от които две могат да доведат до отдалечено изпълнение на код, а четири до иницииране на отказ в обслужването. Първият опасен проблем е свързан с грешка при разархивиране на компресирани DNS съобщения, а вторият с неправилно парсиране на домейни. И двете проблеми водят до препълване на буфера при обработка на специално оформени DNS отговори.

  За експлоатация на уязвимостите на атакуващия е достатъчно да изпрати специално оформен отговор на всеки легитимен запрос, изпратен от уязвимо устройство, например чрез MTIM атака и инжектиране в трафика между DNS сървъра и жертвата. Ако атакуващият има достъп до локалната мрежа, той може да стартира DNS сървър, който се опитва да атакува проблемните устройства, като разпространява mDNS запроси на широкообхватен режим.

• Уязвимост в мрежовия стек NetX (Azure RTOS NetX), разработен за ThreadX RTOS и открит през 2019 година след преминаването в ръцете на Microsoft, се ограничава до отказ в обслужването. Проблемът е предизвикан от грешка в парсирането на компресирани DNS съобщения в реализацията на резолвера.

От проверените мрежови стекове, в които не са открити уязвимости, свързани със сжатие на повторени данни в DNS съобщенията, са посочени проектите lwIP, Nut/Net, Zephyr, uC/TCP-IP, FreeRTOS+TCP, OpenThread и FNET. Първите два (Nut/Net и lwIP) не поддържат компресия в DNS съобщенията, а останалите реализират тази операция без грешки. Освен това се отбелязва, че преди това същите изследователи вече са откривали подобни уязвимости в стекове Treck, uIP и PicoTCP.

Източник: opennet.ru