Ein Versuch, TLS-Zertifikate für ausländische Mobi-Domänen über eine abgelaufene Domäne mit dem WHOIS-Dienst zu erhalten

Forscher von watchTowr Labs haben die Ergebnisse eines Experiments veröffentlicht, bei dem es um die Erfassung eines veralteten WHOIS-Dienstes von einem .MOBI-Domainzonen-Registrar ging. Der Grund für die Studie war, dass der Registrar die WHOIS-Dienstadresse geändert und sie von der Domain whois.dotmobiregistry.net auf den neuen Host whois.nic.mobi verschoben hat. Gleichzeitig wurde die Nutzung der Domain dotmobiregistry.net eingestellt und im Dezember 2023 freigegeben und zur Registrierung verfügbar.

Die Forscher gaben 20 US-Dollar aus und kauften diese Domain, woraufhin sie ihren eigenen fiktiven WHOIS-Dienst whois.dotmobiregistry.net auf ihrem Server starteten. Überraschend war, dass viele Systeme nicht auf den neuen Host whois.nic.mobi umstellten und weiterhin den alten Namen verwendeten. Vom 30. August bis 4. September dieses Jahres wurden 2.5 Millionen Anfragen für den alten Namen registriert, die von mehr als 135 einzigartigen Systemen gesendet wurden.

Zu den Absendern der Anfragen gehörten Postboten Server Regierungs- und Militärorganisationen, die die in E-Mails erscheinenden Domains über WHOIS überprüften, Sicherheitsunternehmen und Sicherheitsplattformen (VirusTotal, Group-IB) sowie Zertifizierungsstellen, Domainverifizierungsdienste, SEO-Dienste und Domainregistrare (z. B. domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io und webchart.org).

Die Möglichkeit, beliebige Daten als Antwort auf eine Anfrage an den alten WHOIS-Dienst der .MOBI-Domänenzone zu senden, wurde zur Entwicklung verschiedener Arten von Angriffen auf Anfragende genutzt. Der erste Angriff basierte auf der Annahme, dass jemand, der weiterhin Anfragen an einen seit langem ersetzten Dienst sendet, dies wahrscheinlich mithilfe veralteter Tools tut, die Schwachstellen enthalten.

Beispielsweise wurde 2015 in phpWHOIS die Schwachstelle CVE-2015-5243 identifiziert, die die Ausführung von Angreifercode beim Parsen speziell formatierter Daten ermöglicht, die vom WHOIS-Server zurückgegeben werden. Ein weiteres Beispiel ist die 2021 im Fail2021Ban-Paket identifizierte Schwachstelle CVE-32749-2, die die Ausführung von externem Code ermöglicht, wenn der WHOIS-Dienst, der bei der Generierung einer Blockierungswarnung verwendet wird, falsche Daten zurückgibt (Fail2Ban ermittelte die E-Mail-Adresse des Host-Administrators). über WHOIS und spezifizierte es beim Ausführen des Befehls mail ohne ordnungsgemäße Escapezeichen für Sonderzeichen).

Der zweite Angriff basiert auf der Tatsache, dass einige Zertifizierungsstellen die Möglichkeit bieten, den Domänenbesitz über eine E-Mail-Adresse zu überprüfen, die in der Domänenregistrierungsdatenbank angegeben ist, auf die über das WHOIS-Protokoll zugegriffen werden kann. Es stellte sich heraus, dass mehrere Zertifizierungsstellen, die diese Verifizierungsmethode unterstützen, weiterhin den alten WHOIS-Server für die Domainzone „.MOBI“ verwenden.

Nachdem Angreifer die Kontrolle über den Namen whois.dotmobiregistry.net erlangt haben, können sie ihre Daten abrufen, Überprüfungen durchführen und Informationen erhalten. TLS-Zertifikat für jede Domain in der .MOBI-Zone.“ Zum Beispiel forderten die Forscher während des Experiments ein TLS-Zertifikat für die Domain microsoft.mobi vom Registrar GlobalSign an, und die vom fiktiven WHOIS-Dienst zurückgegebene E-Mail-Adresse "whois@watchTowr.com" wurde in der Benutzeroberfläche als verfügbar für den Versand eines Codes zur Bestätigung des Domainbesitzes angezeigt.

Source: opennet.ru