Die Spezialisten der JSOF-Forschungslabore berichteten von sieben neuen Schwachstellen im DNS/DHCP-Server dnsmasq. Der Server dnsmasq ist sehr beliebt und wird standardmĂ€Ăig in vielen Linux-Distributionen sowie in NetzwerkgerĂ€ten von Cisco, Ubiquiti und anderen verwendet. Die Schwachstellen Dnspooq umfassen DNS-Cachevergiftungen und Remote-CodeausfĂŒhrung. Die Schwachstellen wurden in dnsmasq 2.83 behoben.
Im Jahr 2008 entdeckte und enthĂŒllte der bekannte Sicherheitsforscher Dan Kaminsky einen fundamentalen Fehler im Mechanismus des DNS im Internet. Kaminsky bewies, dass Angreifer Adressen manipulieren können, Domains und Daten stehlen. Seitdem ist dies als "Kaminsky-Angriff" bekannt.
DNS gilt seit Jahrzehnten als unsicheres Protokoll, obwohl angenommen wird, dass es ein gewisses MaĂ an IntegritĂ€t gewĂ€hrleistet. Aus diesem Grund wird noch immer stark auf es vertraut. Gleichzeitig wurden Mechanismen zur Verbesserung der Sicherheit des ursprĂŒnglichen DNS-Protokolls entwickelt. Diese Mechanismen umfassen HTTPS, HSTS, DNSSEC und andere Initiativen. Dennoch bleibt die Abfangung von DNS selbst im Jahr 2021 eine gefĂ€hrliche Angriffsmethode. Ein groĂer Teil des Internets verlĂ€sst sich immer noch auf DNS, wie es im Jahr 2008 der Fall war, und ist denselben Angriffen ausgesetzt.
Schwachstellen bei der DNSpooq-Cachevergiftung:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Diese Schwachstellen sind Ă€hnlich wie die SAD-DNS-Angriffe, ĂŒber die kĂŒrzlich Forscher von der UniversitĂ€t Kalifornien und der Tsinghua-UniversitĂ€t berichteten. Die Schwachstellen SAD DNS und DNSpooq können auch kombiniert werden, um Angriffe noch einfacher zu machen. Es wurden auch Berichte ĂŒber zusĂ€tzliche Angriffe mit unklaren Konsequenzen veröffentlicht, die von den UniversitĂ€ten gemeinsam durchgefĂŒhrt wurden (Poison Over Troubled Forwarders usw.).
Die Schwachstellen funktionieren, indem sie die Entropie verringern. Aufgrund der Verwendung eines schwachen Hashs zur Identifizierung von DNS-Anfragen und der ungenauen Zuordnung von Anfragen zu Antworten kann die Entropie erheblich verringert werden, und es mĂŒssen nur etwa 19 Bit erraten werden, was eine Cachevergiftung ermöglicht. Die Art und Weise, wie dnsmasq CNAME-EintrĂ€ge verarbeitet, ermöglicht es, eine CNAME-Kette zu fĂ€lschen und effektiv bis zu 9 DNS-EintrĂ€ge gleichzeitig zu vergiften.
PufferĂŒberlauf-Schwachstellen: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Alle vier gekennzeichneten Schwachstellen sind im Code mit der Umsetzung von DNSSEC vorhanden und treten nur auf, wenn die DNSSEC-ĂberprĂŒfung in den Einstellungen aktiviert ist.
Quelle: linux.org.ru
