Bezpečnostní expert společnosti Seralys odhalil možnost podvrhnout DNS server pro doménu mastercard.com, která se používá v infrastruktuře platebního systému MasterCard. V nastavení domény mastercard.com byla od června 2020 přítomna chyba — místo hostitele „a22-65.akam.net“ (DNS služba Akamai) byl uveden hostitel „a22-65.akam.ne“. Kořenová zóna „.ne“ je přidělena Nigeru a doména „akam.ne“ se ukázala jako dostupná k prodeji.
Takže po dobu čtyř a půl let kdokoliv mohl koupit doménu založit hostitele „a22-65.akam.ne“, nasadit na něj DNS server, vytvořit vlastní verzi DNS zóny mastercard.com a přesměrovat jakýkoli subdoménu mastercard.com na svůj server. DNSSEC pro mastercard.com nebyl použit. Protože byla chyba provedena v názvu jednoho z pěti DNS serverů, v případě úspěšného útoku bylo možné získat kontrolu alespoň nad 1/5 provozu. Pokrytí by se dalo zvýšit nastavením vysokého TTL (Time To Live) pro podvrženou zónu, což by vedlo k delšímu udržení záznamů v cache veřejných resolverů, například podporovaných společnostmi Cloudflare (1.1.1.1) a Google (8.8.8.8).
Kromě zachycení provozu existujících hostitelů bylo možné provést méně nápadný útok a využít původně chybějící subdoménu pro phishing, například vytvořit hostitele „redemtion.mastercard.com“ a použít jej ve spamu místo legitimního vstupního bodu „redemption.mastercard.com“. Mimo jiné, mít kontrolu nad jedním z DNS serverů obsluhujících doménu mastercard.com, bylo možné získat TLS certifikát v službách, které umožňují ověření vlastnictví domény přes Web nebo DNS, jako je Let’s Encrypt. Mezi možné scénáře útoků se také zmiňuje vytváření podvrženého poštovního serveru pro zachycení korespondence s emailem jméno@mastercard.com a organizaci zachycení autentizačních dat z počítačů zaměstnanců používajících Windows.
Výzkumník odhalující problémy zakoupil doménu "akam.ne" za 300 $ a spustil na ní DNS sniffer pro hodnocení objemu provozu. Analýza přicházejících požadavků ukázala, že případ MasterCard není jediný a existují i jiné doménové zóny, v seznamu DNS serverů s uvedeným hostem "akam.ne" místo "akam.net". Navíc bylo zjištěno, že v letech 2015 až 2018 byla doména "akam.ne" registrována a pravděpodobně používána k provádění útoků. Předpoklad o útocích byl učiněn, protože bývalý majitel "akam.ne" také zaregistroval doménu "awsdns-06.ne", která se stylizuje jako DNS server "awsdns-06.net". Nefunkčnost jednoho z DNS serverů s překlepem v názvu může dlouho zůstat bez povšimnutí administrátory, protože dostupnost je zajištěna uvedením několika DNS serverů.
Společnost MasterCard zprvu ignorovala zprávu o problému, ale poté, co je kontaktoval novinář Brian Krebs, přiznala a opravila chybu a prohlásila, že chyba nepředstavovala hrozbu pro infrastrukturu. Poté byly přes službu Bugcrowd, která umožňuje odměny za nalezené zranitelnosti, výzkumníkovi předány požadavky MasterCard na odstranění publikované poznámky o incidentu.
Na to výzkumník odpověděl, že ačkoli má účet na službě Bugcrowd, žádné žádosti o odměny neodesílal a přímo informoval společnost MasterCard o problému. Poznámka byla publikována, aby upozornila na problém poté, co nebyla společnosti MasterCard již žádná hrozba, a doména "akam.ne" patřila výzkumníkovi. Nakonec společnost MasterCard nejenže nekompenzovala 300 $ vynaložených na doménu, ale ani výzkumníka slovně nepoděkovala.
Pokud jde o tvrzení, že chyba nevytvářela další rizika, výzkumník předložil statistiku přijatých DNS požadavků, ve které figuruje domény *.az.mastercard.com, ukazující na pracovní komponenty infrastruktury MasterCard umístěné v cloudové službě Microsoft Azure. Kompromitace takových komponentů se zjevně představovalo kritické ohrožení bezpečnosti.
Zdroj: opennet.ru
