Eine Forschungsgruppe von der University of California, Riverside, hat eine neue Variante des SAD DNS-Angriffs (CVE-2021-20322) ver\u00f6ffentlicht, die trotz der im vergangenen Jahr implementierten Schutzma\u00dfnahmen zur Blockierung der CVE-2020-25705-Schwachstelle funktioniert. Die neue Methode \u00e4hnelt im Wesentlichen der Schwachstelle des vergangenen Jahres und unterscheidet sich lediglich durch die Verwendung eines anderen Typs von ICMP-Paketen zur \u00dcberpr\u00fcfung aktiver UDP-Ports. Der vorgeschlagene Angriff erm\u00f6glicht die Untersetzung falscher Daten im DNS-Cache eines Servers, was genutzt werden kann, um die IP-Adresse einer beliebigen Domain im Cache zu ersetzen und Anfragen an die Domain auf den Server des Angreifers umzuleiten. <\/p>\n
Die vorgeschlagene Methode funktioniert nur im Linux-Netzwerkstack, da sie an eine Besonderheit der ICMP-Paketverarbeitung in Linux gebunden ist, die eine Datenleckage zur Vereinfachung der Bestimmung der verwendeten UDP-Portnummer verursacht. dem Server durch<\/a> zur \u00dcbermittlung externer Anfragen. \u00c4nderungen, die Informationslecks verhindern, wurden Ende August in den Linux-Kernel aufgenommen (die Korrektur fand Eingang in den Kernel 5.15 und die September-Updates der LTS-Kernelzweige). Die Korrektur besteht darin, in den NetzwerkkCaches den SipHash-Hash-Algorithmus anstelle von Jenkins Hash zu verwenden. Der Status der Behebung der Sicherheitsanf\u00e4lligkeit in den Distributionen kann auf den folgenden Seiten eingesehen werden: Debian, RHEL, Fedora, SUSE, Ubuntu. <\/p>\n Laut den Forschern, die das Problem identifiziert haben, sind etwa 38% der offenen Resolver im Internet anf\u00e4llig f\u00fcr die Sicherheitsanf\u00e4lligkeit, einschlie\u00dflich beliebter DNS-Dienste wie OpenDNS und Quad9 (9.9.9.9). Was die Server-Software angeht, kann ein Angriff durchgef\u00fchrt werden, wenn auf dem Linux-Server Pakete wie BIND, Unbound und dnsmasq verwendet werden. Auf DNS-Servern, die mit Windows und BSD-Systemen betrieben werden, zeigt sich das Problem nicht. F\u00fcr den erfolgreichen Durchf\u00fchrung eines Angriffs ist IP-Spoofing erforderlich, d.h. der Angreifer muss sicherstellen, dass der Provider des Angreifers keine Pakete mit einer gef\u00e4lschten Quell-IP-Adresse blockiert. <\/p>\n Wir erinnern daran, dass der SAD DNS-Angriff es erm\u00f6glicht, die in DNS-Server implementierten Schutzma\u00dfnahmen gegen die klassische Methode der DNS-Cache-Vergiftung zu umgehen, die 2008 von Dan Kaminsky vorgeschlagen wurde. Die Methode von Kaminsky manipuliert die relativ geringe Gr\u00f6\u00dfe des Feldes f\u00fcr die Anfrage-ID im DNS, welches nur 16 Bit betr\u00e4gt. Um die korrekte ID der DNS-Transaktion f\u00fcr das Spoofing des Hostnamens zu ermitteln, gen\u00fcgt es, ungef\u00e4hr 7000 Anfragen zu senden und etwa 140.000 gef\u00e4lschte Antworten zu simulieren. Der Angriff besteht darin, eine gro\u00dfe Anzahl von Paketen mit gef\u00e4lschter IP-Zuordnung und verschiedenen IDs der DNS-Transaktion an den DNS-Resolver zu senden. Um zu verhindern, dass die erste Antwort zwischengespeichert wird, wird in jeder gef\u00e4lschten Antwort ein leicht ver\u00e4ndertes Domain-Domainname angegeben (1.example.com, 2.example.com, 3.example.com usw.). <\/p>\n Um sich gegen diese Art von Angriffen zu sch\u00fctzen, haben die Hersteller von DNS-Servern eine zuf\u00e4llige Verteilung der Quellnetzportnummern implementiert, von denen aus die Anfragen zur Aufl\u00f6sung gesendet werden. Dies kompensierte die unzureichende Gr\u00f6\u00dfe des Identifikators. Nach der Implementierung des Schutzes wurde es erforderlich, nicht nur die 16-Bit-Identifikation f\u00fcr ein gef\u00e4lschtes Antwortpaket zu erraten, sondern auch einen der 64.000 Ports zu w\u00e4hlen, was die Anzahl der m\u00f6glichen Kombinationen auf 2^32 erh\u00f6hte. <\/p>\n Die SAD-DNS-Methode erleichtert erheblich die Bestimmung der Netzwerkportnummer und reduziert Angriffe auf die klassische Methode von Kaminsky. Ein Angreifer kann auf ungenutzte und aktive UDP-Ports zugreifen, indem er von der Informationsleckage \u00fcber die Aktivit\u00e4t von Netzwerkports bei der Verarbeitung von Antwort-ICMP-Paketen Gebrauch macht. Diese Methode verringert die Anzahl der M\u00f6glichkeiten zur Durchsuchung um den Faktor 10.000 \u2014 2^16+2^16 statt 2^32 (131.072 statt 4.294.967.296). Das Datenleck, das eine schnelle Bestimmung aktiver UDP-Ports erm\u00f6glicht, ist durch einen Fehler im Code zur Verarbeitung von ICMP-Paketen mit Fragmentierungsanfragen (ICMP-Flag Fragmentation Needed) oder Umleitung (ICMP-Flag Redirect) verursacht. Das Senden solcher Pakete \u00e4ndert den Cache-Zustand im Netzwerk-Stack, sodass anhand der Reaktion des Servers bestimmt werden kann, welcher der UDP-Ports aktiv und welcher inaktiv ist. <\/p>\n Angriffszenario: Wenn ein DNS-Resolver versucht, einen Domainnamen zu bestimmen, sendet er eine UDP-Anfrage an den zust\u00e4ndigen DNS-Server. W\u00e4hrend der Resolver auf eine Antwort wartet, kann der Angreifer schnell die Nummer des Quellports bestimmen, der f\u00fcr die Anfrage verwendet wurde, und eine gef\u00e4lschte Antwort an diesen Port senden, indem er sich als zust\u00e4ndiger DNS-Server ausgibt, unter Verwendung von Spoofing. IP-Adressen<\/a>Der DNS-Resolver wird die in der gef\u00e4lschten Antwort \u00fcbermittelten Daten im Cache speichern und f\u00fcr eine gewisse Zeit bei allen anderen DNS-Anfragen zu diesem Domainnamen die vom Angreifer vorget\u00e4uschte IP-Adresse zur\u00fcckgeben. \u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE-2020-25705. \u041d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0432 \u0446\u0435\u043b\u043e\u043c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e\u0434\u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043b\u0438\u0448\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0442\u0438\u043f\u0430 ICMP-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 UDP-\u043f\u043e\u0440\u0442\u043e\u0432. \u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0447\u0442\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102308","post","type-post","status-publish","format-standard","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Neue Variante des SAD-DNS-Angriffs zur Einspeisung gef\u00e4lschter Daten in den DNS-Cache | ProHoster","description":"Eine Gruppe von Forschern der Universit\u00e4t von Kalifornien in Riverside hat eine neue Variante des SAD-DNS-Angriffs (CVE-2021-20322) ver\u00f6ffentlicht, die trotz des im vergangenen Jahr hinzugef\u00fcgten Schutzes gegen die CVE-2020-25705-Schwachstelle funktioniert. Die neue Methode ist grunds\u00e4tzlich \u00e4hnlich der Schwachstelle des letzten Jahres und unterscheidet sich lediglich durch die Verwendung eines anderen Typs von ICMP-Paketen zur \u00dcberpr\u00fcfung aktiver UDP-Ports. Der vorgeschlagene Angriff erm\u00f6glicht es, gef\u00e4lschte Daten in den Cache des DNS-Servers einzuspeisen, was","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE-2020-25705. \u041d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0432 \u0446\u0435\u043b\u043e\u043c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e\u0434\u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043b\u0438\u0448\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0442\u0438\u043f\u0430 ICMP-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 UDP-\u043f\u043e\u0440\u0442\u043e\u0432. \u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0447\u0442\u043e","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-17T19:36:54+00:00","article:modified_time":"2021-11-17T19:36:54+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102308","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-17 19:38:17","updated":"2026-02-09 21:46:42"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102308","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=102308"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102308\/revisions"}],"predecessor-version":[{"id":160307,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102308\/revisions\/160307"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=102308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=102308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=102308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"