DNSpooq - dnsmasq-তে সাতটি নতুন দুর্বলতা

JSOF গবেষণা ল্যাবগুলির বিশেষজ্ঞরা DNS/DHCP সার্ভার dnsmasq-তে সাতটি নতুন দুর্বলতা রিপোর্ট করেছেন। dnsmasq সার্ভারটি খুবই জনপ্রিয় এবং অনেক লিনাক্স ডিস্ট্রিবিউশনের পাশাপাশি Cisco, Ubiquiti এবং অন্যান্যদের নেটওয়ার্ক সরঞ্জামগুলিতে ডিফল্টরূপে ব্যবহৃত হয়। Dnspooq দুর্বলতাগুলির মধ্যে DNS ক্যাশে বিষক্রিয়ার পাশাপাশি দূরবর্তী কোড কার্যকর করা অন্তর্ভুক্ত। দুর্বলতাগুলি dnsmasq 2.83 এ সংশোধন করা হয়েছে।

2008 সালে, বিখ্যাত নিরাপত্তা গবেষক ড্যান কামিনস্কি ইন্টারনেটের ডিএনএস মেকানিজমের একটি মৌলিক ত্রুটি আবিষ্কার করেন এবং প্রকাশ করেন। কামিনস্কি প্রমাণ করেছেন যে আক্রমণকারীরা ডোমেন ঠিকানাগুলি ফাঁকি দিতে পারে এবং ডেটা চুরি করতে পারে। এটি তখন থেকে "কামিনস্কি আক্রমণ" নামে পরিচিতি লাভ করে।

ডিএনএসকে কয়েক দশক ধরে একটি অনিরাপদ প্রোটোকল হিসাবে বিবেচনা করা হয়েছে, যদিও এটি একটি নির্দিষ্ট স্তরের অখণ্ডতার গ্যারান্টি দেওয়ার কথা। এই কারণেই এটি এখনও অনেক বেশি নির্ভরশীল। একই সময়ে, মূল ডিএনএস প্রোটোকলের নিরাপত্তা উন্নত করার জন্য মেকানিজম তৈরি করা হয়েছিল। এই প্রক্রিয়াগুলির মধ্যে HTTPS, HSTS, DNSSEC এবং অন্যান্য উদ্যোগ অন্তর্ভুক্ত রয়েছে। যাইহোক, এই সমস্ত ব্যবস্থা থাকা সত্ত্বেও, DNS হাইজ্যাকিং এখনও 2021 সালে একটি বিপজ্জনক আক্রমণ। বেশিরভাগ ইন্টারনেট এখনও DNS এর উপর নির্ভর করে যেভাবে এটি 2008 সালে করেছিল, এবং একই ধরনের আক্রমণের জন্য সংবেদনশীল।

DNSpooq ক্যাশে বিষক্রিয়ার দুর্বলতা:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685। এই দুর্বলতাগুলি সম্প্রতি ক্যালিফোর্নিয়া বিশ্ববিদ্যালয় এবং সিংহুয়া বিশ্ববিদ্যালয়ের গবেষকদের দ্বারা রিপোর্ট করা SAD DNS আক্রমণের অনুরূপ। আক্রমণগুলিকে আরও সহজ করতে SAD DNS এবং DNSpooq দুর্বলতাগুলিকেও একত্রিত করা যেতে পারে। অস্পষ্ট পরিণতি সহ অতিরিক্ত আক্রমণগুলিও বিশ্ববিদ্যালয়গুলির যৌথ প্রচেষ্টার দ্বারা রিপোর্ট করা হয়েছে (পয়জন ওভার ট্রাবলড ফরোয়ার্ডার, ইত্যাদি)।
দুর্বলতা এনট্রপি হ্রাস করে কাজ করে। DNS অনুরোধ শনাক্ত করার জন্য একটি দুর্বল হ্যাশ ব্যবহার করার কারণে এবং প্রতিক্রিয়ার সাথে অনুরোধের সঠিক মিলের কারণে, এনট্রপি ব্যাপকভাবে হ্রাস করা যেতে পারে এবং শুধুমাত্র ~19 বিট অনুমান করা প্রয়োজন, ক্যাশে বিষক্রিয়া সম্ভব করে তোলে। যেভাবে dnsmasq CNAME রেকর্ডগুলি প্রক্রিয়া করে তা এটিকে CNAME রেকর্ডগুলির একটি চেইনকে ফাঁকি দিতে এবং কার্যকরভাবে এক সময়ে 9টি DNS রেকর্ড পর্যন্ত বিষাক্ত করতে দেয়৷

বাফার ওভারফ্লো দুর্বলতা: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681। সমস্ত 4টি লক্ষণীয় দুর্বলতাগুলি DNSSEC বাস্তবায়নের সাথে কোডে উপস্থিত থাকে এবং সেটিংসে DNSSEC এর মাধ্যমে চেক করার সময়ই তা উপস্থিত হয়৷

উত্স: linux.org.ru