Specijalisti iz istraživačkih laboratorija JSOF prijavili su sedam novih ranjivosti u DNS/DHCP serveru dnsmasq. Dnsmasq server je veoma popularan i podrazumevano se koristi u mnogim Linux distribucijama, kao i u mrežnoj opremi od Cisco, Ubiquiti i drugih. Dnspooq ranjivosti uključuju trovanje DNS keša kao i daljinsko izvršavanje koda. Ranjivosti su ispravljene u dnsmasq 2.83.
Godine 2008. poznati istraživač sigurnosti Dan Kaminsky otkrio je i razotkrio fundamentalnu grešku u DNS mehanizmu interneta. Kaminsky je dokazao da napadači mogu lažirati adrese domena i ukrasti podatke. Ovo je od tada postalo poznato kao "Kaminski napad".
DNS se decenijama smatra nesigurnim protokolom, iako bi trebalo da garantuje određeni nivo integriteta. Iz tog razloga se još uvijek uvelike oslanja na njega. Istovremeno, razvijeni su mehanizmi za poboljšanje sigurnosti originalnog DNS protokola. Ovi mehanizmi uključuju HTTPS, HSTS, DNSSEC i druge inicijative. Međutim, čak i sa svim ovim mehanizmima, otmica DNS-a je i dalje opasan napad u 2021. Veliki dio interneta se još uvijek oslanja na DNS na isti način kao 2008. godine i podložan je istim vrstama napada.
Ranjivosti trovanja DNSpooq keša:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Ove ranjivosti su slične SAD DNS napadima koje su nedavno prijavili istraživači sa Univerziteta Kalifornije i Univerziteta Tsinghua. SAD DNS i DNSpooq ranjivosti se takođe mogu kombinovati kako bi napadi bili još lakši. Dodatni napadi sa nejasnim posljedicama također su prijavljeni zajedničkim naporima univerziteta (Poison Over Troubled Forwarders, itd.).
Ranjivosti djeluju tako što smanjuju entropiju. Zbog upotrebe slabog heša za identifikaciju DNS zahtjeva i nepreciznog podudaranja zahtjeva sa odgovorom, entropija se može znatno smanjiti i potrebno je pogoditi samo ~19 bitova, što čini trovanje keša mogućim. Način na koji dnsmasq obrađuje CNAME zapise omogućava mu lažiranje lanca CNAME zapisa i efektivno trovanje do 9 DNS zapisa istovremeno.
Ranjivosti prekoračenja bafera: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Sve 4 uočene ranjivosti prisutne su u kodu sa implementacijom DNSSEC-a i pojavljuju se samo kada je provjera putem DNSSEC-a omogućena u postavkama.
izvor: linux.org.ru