I forskellige implementeringer af DNSSEC-protokollen er der identificeret to sÄrbarheder, der pÄvirker DNS-resolvere som BIND, PowerDNS, dnsmasq, Knot Resolver og Unbound. SÄrbarhederne muliggÞr denial of service-angreb pÄ DNS-resolvere, der udfÞrer validering med DNSSEC, pÄ grund af hÞjt CPU-forbrug, der forhindrer behandling af andre anmodninger. For at udfÞre et angreb er det tilstrÊkkeligt at sende en anmodning til en DNS-resolver, der bruger DNSSEC, som medfÞrer adgang til en specielt konfigureret DNS-zone pÄ angriberens server.
Identificerede problemer:
- CVE-2023-50387 (kodenavn KeyTrap) â ved adgang til specielt konfigurerede DNS-zoner fĂžrer det til denial of service pĂ„ grund af betydelig CPU-belastning og langvarig verifikation af DNSSEC. For at udfĂžre et angreb krĂŠves det, at angriberen placerer en domĂŠnezone med ondsindede indstillinger pĂ„ en DNS-server, der er under deres kontrol, samt fĂ„r den rekursive DNS-server til at henvise til denne zone, som angriberen Ăžnsker at lĂŠgge nede.
De ondsindede indstillinger indebÊrer brug af en kombination af modstridende nÞgler, RRSET-poster og digitale signaturer for zonen. Et forsÞg pÄ verifikation med disse nÞgler fÞrer til udfÞrelse af langvarige ressourcekrÊvende operationer, der kan belaste CPU'en helt og blokere behandlingen af andre anmodninger (for eksempel pÄstÄs det, at et angreb pÄ BIND har stoppet behandlingen af andre anmodninger i 16 timer).
- CVE-2023-50868 (kodenavn NSEC3) â denial of service pĂ„ grund af betydelige beregninger ved hash-beregninger i NSEC3-poster (Next Secure v3) ved behandling af specielt konfigurerede DNSSEC-svar. Angrebsmetoden ligner den fĂžrste sĂ„rbarhed, undtagen at der pĂ„ angriberens DNS-server oprettes et specielt konfigureret sĂŠt NSEC3 RRSET-poster.
Det bemÊrkes, at fremkomsten af de ovennÊvnte sÄrbarheder skyldes bestemmelsen i DNSSEC-specifikationen om muligheden for, at DNS-serveren sender alle tilgÊngelige kryptografiske nÞgler, mens resolverne skal behandle alle nÞgler, de modtager, indtil verifikationen er gennemfÞrt med succes, eller alle modtagne nÞgler er blevet kontrolleret.
Som en foranstaltning til at blokere sÄrbarheder i resolverne er det maksimale antal DNSSEC-nÞgler, der anvendes i opbygningen af tillidskÊden, begrÊnset, ligesom det maksimale antal hash-beregninger for NSEC3. Der er desuden begrÊnsninger for antallet af gentagne verificeringsforsÞg for hver RRSET (kombinationer af nÞgler og underskrifter) og hvert svar. server.
SÄrbarhederne er blevet udbedret i opdateringer af Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) og BIND (9.16.48, 9.18.24 og 9.19.21). Status for udbedringerne af sÄrbarhederne i distributionerne kan vurderes pÄ de fÞlgende sider: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.
I versionerne af DNS-serveren BIND 9.16.48, 9.18.24 og 9.19.21 er yderligere flere sÄrbarheder blevet udbedret:
- CVE-2023-4408 â behandling af store DNS-beskeder kan fĂžre til hĂžj CPU-belastning.
- CVE-2023-5517 â en anmodning om en specielt udformet omvendt zone kan fĂžre til et nedbrud pĂ„ grund af aktivering af assert-tjek. Problemet opstĂ„r kun i konfigurationer med den aktiverede indstilling "nxdomain-redirect".
- CVE-2023-5679 â rekursiv bestemmelse af host kan fĂžre til et nedbrud pĂ„ grund af aktivering af assert-tjek pĂ„ systemer med aktiveret DNS64-support og "serve-stale" (indstillingerne stale-cache-enable og stale-answer-enable).
- CVE-2023-6516 â specielt udformede rekursive forespĂžrgsler kan fĂžre til udtĂžmning af tilgĂŠngelig hukommelse for processen.
Kilde: opennet.ru
