{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"S\u00e5rbarhederne KeyTrap og NSEC3, der p\u00e5virker de fleste implementeringer af DNSSEC","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I forskellige implementeringer af DNSSEC-protokollen er der identificeret to s\u00e5rbarheder, der p\u00e5virker DNS-resolvere som BIND, PowerDNS, dnsmasq, Knot Resolver og Unbound. S\u00e5rbarhederne muligg\u00f8r denial of service-angreb p\u00e5 DNS-resolvere, der udf\u00f8rer validering med DNSSEC, p\u00e5 grund af h\u00f8jt CPU-forbrug, der forhindrer behandling af andre anmodninger. For at udf\u00f8re et angreb er det tilstr\u00e6kkeligt at sende en anmodning til en DNS-resolver, der bruger DNSSEC, som medf\u00f8rer adgang til en specielt konfigureret DNS-zone p\u00e5 angriberens server. <\/p>\n
Identificerede problemer: <\/p>\n
\n
CVE-2023-50387 (kode navn KeyTrap) \u2014 ved foresp\u00f8rgsel til specifikt formaterede DNS-zoner kan det for\u00e5rsage nedetid p\u00e5 grund af betydelig belastning p\u00e5 CPU'en og langvarig DNSSEC-validering. For at udf\u00f8re angrebet skal der findes en dom\u00e6nezone med skadelig konfiguration p\u00e5 en DNS-server, som angriberen kontrollerer, samt sikre sig, at den rekursive DNS-server henvender sig til denne zone, hvilket angriberen opn\u00e5r ved at for\u00e5rsage nedetid.\n
De ondsindede indstillinger indeb\u00e6rer brug af en kombination af modstridende n\u00f8gler, RRSET-poster og digitale signaturer for zonen. Et fors\u00f8g p\u00e5 verifikation med disse n\u00f8gler f\u00f8rer til udf\u00f8relse af langvarige ressourcekr\u00e6vende operationer, der kan belaste CPU'en helt og blokere behandlingen af andre anmodninger (for eksempel p\u00e5st\u00e5s det, at et angreb p\u00e5 BIND har stoppet behandlingen af andre anmodninger i 16 timer). <\/p>\n
CVE-2023-50868 (kode navn NSEC3) \u2014 nedetid p\u00e5 grund af store beregninger ved hashing af NSEC3-poster (Next Secure v3) under behandling af specielt formaterede DNSSEC-svar. Angrebsmetoden ligner den f\u00f8rste s\u00e5rbarhed, bortset fra at der p\u00e5 angriberens DNS-server oprettes et specielt formateret s\u00e6t af NSEC3 RRSET-poster. <\/ul>\n
Det bem\u00e6rkes, at fremkomsten af de ovenn\u00e6vnte s\u00e5rbarheder skyldes bestemmelsen i DNSSEC-specifikationen om muligheden for, at DNS-serveren sender alle tilg\u00e6ngelige kryptografiske n\u00f8gler, mens resolverne skal behandle alle n\u00f8gler, de modtager, indtil verifikationen er gennemf\u00f8rt med succes, eller alle modtagne n\u00f8gler er blevet kontrolleret. <\/p>\n
Som en foranstaltning til at blokere s\u00e5rbarheder i resolverne er det maksimale antal DNSSEC-n\u00f8gler, der anvendes i opbygningen af tillidsk\u00e6den, begr\u00e6nset, ligesom det maksimale antal hash-beregninger for NSEC3. Der er desuden begr\u00e6nsninger for antallet af gentagne verificeringsfors\u00f8g for hver RRSET (kombinationer af n\u00f8gler og underskrifter) og hvert svar. server<\/a>. <\/p>\n