In verschiedenen Implementierungen des DNSSEC-Protokolls wurden zwei Schwachstellen entdeckt, die die DNS-Resolver BIND, PowerDNS, dnsmasq, Knot Resolver und Unbound betreffen. Diese Schwachstellen ermöglichen eine Denial-of-Service-Attacke auf die DNS-Resolver, die die Validierung mithilfe von DNSSEC durchfĂŒhren, aufgrund einer hohen CPU-Auslastung, die die Verarbeitung anderer Anfragen stört. Um einen Angriff durchzufĂŒhren, reicht es aus, eine Anfrage an einen DNS-Resolver zu senden, der DNSSEC verwendet und zu einer speziell gestalteten DNS-Zone auf dem Server des Angreifers fĂŒhrt.
Festgestellte Probleme:
- CVE-2023-50387 (Codename KeyTrap) â der Zugriff auf speziell gestaltete DNS-Zonen fĂŒhrt zu einem Denial of Service aufgrund einer erheblichen CPU-Last und einer langwierigen ĂberprĂŒfung von DNSSEC. Um einen Angriff durchzufĂŒhren, muss eine DomĂ€ne mit schĂ€dlichen Einstellungen auf dem vom Angreifer kontrollierten DNS-Server eingerichtet werden, und es muss erreicht werden, dass dieser stromlinienförmige DNS-Server auf diese Zone zugreift, dessen Denial-of-Service der Angreifer herbeifĂŒhrt.
SchĂ€dliche Einstellungen bestehen darin, in der Zone eine Kombination von sich gegenseitig widersprechenden SchlĂŒsseln, RRSET-EintrĂ€gen und digitalen Signaturen zu verwenden. Der Versuch, mit diesen SchlĂŒsseln zu prĂŒfen, fĂŒhrt zur AusfĂŒhrung langwieriger, ressourcenintensiver Operationen, die die CPU vollstĂ€ndig auslasten und die Verarbeitung anderer Anfragen blockieren können (so wird behauptet, dass wĂ€hrend eines Angriffs auf BIND die Verarbeitung anderer Anfragen bis zu 16 Stunden gestoppt werden konnte).
- CVE-2023-50868 (Codename NSEC3) â Denial of Service aufgrund signifikanter Berechnungen beim Hashing in NSEC3 (Next Secure v3)-EintrĂ€gen bei der Verarbeitung von speziell gestalteten DNSSEC-Antworten. Die Angriffsmethode Ă€hnelt der ersten Schwachstelle, mit dem Unterschied, dass auf dem DNS-Server des Angreifers ein speziell gestaltetes Set von NSEC3 RRSET-EintrĂ€gen erstellt wird.
Es wird festgestellt, dass das Auftreten der oben genannten Schwachstellen durch die Definition in der DNSSEC-Spezifikation verursacht wird, die es dem DNS-Server ermöglicht, alle verfĂŒgbaren kryptografischen SchlĂŒssel zu senden, wĂ€hrend die Resolver alle empfangenen SchlĂŒssel verarbeiten mĂŒssen, bis die ĂberprĂŒfung erfolgreich abgeschlossen ist oder alle empfangenen SchlĂŒssel ĂŒberprĂŒft wurden.
Um Schwachstellen in Resolvern zu blockieren, ist die maximale Anzahl der in den Prozess zur Erstellung der VertrauenswĂŒrdigkeit eingesetzten DNSSEC-SchlĂŒssel sowie die maximale Anzahl der Hash-Berechnungen fĂŒr NSEC3 begrenzt. AuĂerdem sind die Wiederholungsversuche zur ĂberprĂŒfung fĂŒr jedes RRSET (Kombination von SchlĂŒsseln und Signaturen) und jede Antwort limitiert. Server.
Schwachstellen wurden in den Updates von Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) und BIND (9.16.48, 9.18.24 und 9.19.21) behoben. Der Status der Behebung von Schwachstellen in den Distributionen kann auf den folgenden Seiten ĂŒberprĂŒft werden: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.
In den Versionen des DNS-Servers BIND 9.16.48, 9.18.24 und 9.19.21 wurden zusÀtzlich mehrere Schwachstellen behoben:
- CVE-2023-4408 â die Verarbeitung groĂer DNS-Nachrichten kann zu einer hohen CPU-Auslastung fĂŒhren.
- CVE-2023-5517 â eine speziell gestaltete Anfrage an die RĂŒckwĂ€rtszone kann aufgrund eines Auslösens der assert-PrĂŒfung zu einem Absturz fĂŒhren. Das Problem tritt nur in Konfigurationen mit aktivierter Einstellung ânxdomain-redirectâ auf.
- CVE-2023-5679 â die rekursive Auflösung von Hosts kann aufgrund eines Auslösens der assert-PrĂŒfung auf Systemen mit aktivierter UnterstĂŒtzung fĂŒr DNS64 und âserve-staleâ (Einstellungen: stale-cache-enable und stale-answer-enable) zu einem Absturz fĂŒhren.
- CVE-2023-6516 â speziell gestaltete rekursive Anfragen können zu einem Ausschöpfen des verfĂŒgbaren Arbeitsspeichers des Prozesses fĂŒhren.
Quelle: opennet.ru
