Опит за получаване на TLS сертификати за чужди домейни mobi, използвайки изтекъл домейн с WHOIS услуга

Изследователи от компанията watchTowr Labs публикуваха резултатите от експеримент с улов на остарял WHOIS-сервис на регистратора на домейна «.MOBI». Поводът за изследването беше, че регистраторът смени адреса на WHOIS-сервиса, премествайки го от домейна whois.dotmobiregistry.net на новия хост whois.nic.mobi. В същото време домейнът dotmobiregistry.net спря да се използва и през декември 2023 година беше освободен и стана достъпен за регистрация.

Изследователите похарчили 20 долара и закупили този домейн, след което на своя сървър стартирали собствен фиктивен WHOIS-сервис whois.dotmobiregistry.net. Изненада предизвика фактът, че много системи не преминаха на новия хост whois.nic.mobi и продължаваха да използват старото име. От 30 август до 4 септември тази година бяха регистрирани 2.5 милиона заявки по старото име, изпратени от над 135 хиляди уникални системи.

Сред изпращачите на заявки имаше и представители на сървъри държавни и военни организации, които проверяваха домейните, фигуриращи в имейлите, през WHOIS, специализиращи се в сигурността компании и платформи за киберсигурност (VirusTotal, Group-IB), както и удостоверяващи центрове, услуги за проверка на домейни, SEO услуги и регистратори на домейни (например domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io и webchart.org).

Възможността да се изпращат всякакви данни в отговор на запитване до стария WHOIS-сервис на домейн зоната «.MOBI» беше използвана за разработване на няколко вида атаки срещу изпращачите на заявки. Първият вариант на атаката се основаваше на предположението, че ако някой продължава да изпраща запитвания към отдавна заменен сервис, то вероятно го прави с помощта на остарели инструменти, съдържащи уязвимости.

Например, в phpWHOIS през 2015 година беше открита уязвимост CVE-2015-5243, позволяваща изпълнението на код на атакуващия при анализа на специално оформени данни, връщани от WHOIS сървъра. Друг пример е установената през 2021 година уязвимост CVE-2021-32749 в пакета Fail2Ban, позволяваща изпълнението на външен код при връщането на некоректни данни от WHOIS-сервиса, използван по време на генериране на известие за блокировка (Fail2Ban идентифицираше имейла на администратора на хоста чрез WHOIS и го указваше при стартиране на командата mail без адекватно екраниране на специални символи).

Втората атака е основана на факта, че някои удостоверяващи центрове предоставят възможност за верификация на притежанието на домейн чрез имейл, посочен в базата на регистратора на домейна, достъпна чрез протокола WHOIS. Оказа се, че няколко удостоверяващи центрове, поддържащи този метод на проверка, продължават да използват стар WHOIS-сървър за домейна «.MOBI».

Така, получавайки контрол над името whois.dotmobiregistry.net, атакуващите могат да върнат своите данни, да извършат потвърждение и да получат TLS сертификат за всеки домейн в зоната .MOBI». Например, по време на експеримент, изследователите поискахa от регистратора GlobalSign TLS-сертификат за домейна microsoft.mobi и върнатият фиктивен WHOIS-сервис имейл «whois@watchTowr.com» беше показан в интерфейса като наличен за изпращане на код за потвърждение на притежанието на домейна.

Източник: opennet.ru