Eine Gruppe von Forschern der University of California, Riverside, hat eine neue Variante des SAD DNS-Angriffs (CVE-2021-20322) ver\u00f6ffentlicht, die trotz der im letzten Jahr implementierten Schutzma\u00dfnahmen zur Blockierung der CVE-2020-25705-Schwachstelle funktioniert. Der neue Ansatz \u00e4hnelt im Wesentlichen der Schwachstelle des Vorjahres und unterscheidet sich lediglich durch die Verwendung eines anderen Typs von ICMP-Paketen zur \u00dcberpr\u00fcfung aktiver UDP-Ports. Der vorgeschlagene Angriff erm\u00f6glicht die Einspeisung gef\u00e4lschter Daten in den Cache des DNS-Servers, was verwendet werden kann, um die IP-Adresse einer beliebigen Domain im Cache zu ersetzen und Anfragen an die Domain auf den Server des Angreifers umzuleiten. <\/p>\n
Die vorgeschlagene Methode funktioniert nur im Linux-Netzwerkstack, da sie an eine Besonderheit der ICMP-Paketverarbeitung in Linux gebunden ist, die eine Quelle f\u00fcr Datenlecks darstellt, die die Bestimmung der verwendeten UDP-Portnummer erleichtert. Server<\/a> um eine externe Anfrage zu senden. \u00c4nderungen, die die Informationslecks blockieren, wurden Ende August in den Linux-Kernel aufgenommen (der Fix wurde in den Kernel 5.15 und die September-Updates der LTS-Kernels aufgenommen). Die Korrektur besteht darin, dass in den Netzwerk-Caches der SipHash-Hashalgorithmus anstelle von Jenkins Hash verwendet wird. Der Status der Behebung der Schwachstelle in den Distributionen kann auf den folgenden Seiten \u00fcberpr\u00fcft werden: Debian, RHEL, Fedora, SUSE, Ubuntu. <\/p>\n Laut den Forschern, die das Problem entdeckt haben, sind etwa 38 % der im Internet befindlichen offenen Resolver von dieser Schwachstelle betroffen, darunter beliebte DNS-Dienste wie OpenDNS und Quad9 (9.9.9.9). Was die Server-Software betrifft, so kann der Angriff auf Linux-Servern durchgef\u00fchrt werden, die Pakete wie BIND, Unbound und dnsmasq verwenden. Auf DNS-Servern, die mit Windows und BSD-Systemen betrieben werden, tritt das Problem nicht auf. Um den Angriff erfolgreich durchzuf\u00fchren, ist IP-Spoofing erforderlich, d.h. der Anbieter des Angreifers darf Pakete mit einer gef\u00e4lschten Quell-IP-Adresse nicht blockieren. <\/p>\n Wir erinnern daran, dass der SAD DNS-Angriff es erm\u00f6glicht, den Schutz zu umgehen, der in DNS-Servern implementiert wurde, um die klassische Methode der DNS-Cache-Vergiftung zu blockieren, die 2008 von Dan Kaminsky vorgeschlagen wurde. Die Methode von Kaminsky manipuliert die geringe Gr\u00f6\u00dfe des Identifikationsfeldes der DNS-Anfrage, das nur 16 Bit betr\u00e4gt. Um die korrekte DNS-Transaktions-ID, die f\u00fcr das Spoofen des Hostnamens erforderlich ist, zu erraten, reicht es aus, etwa 7000 Anfragen zu senden und etwa 140.000 gef\u00e4lschte Antworten zu simulieren. Der Angriff besteht darin, eine gro\u00dfe Anzahl von Paketen mit einer gef\u00e4lschten IP-Bindung und verschiedenen DNS-Transaktions-IDs an den DNS-Resolver zu senden. Um zu verhindern, dass die erste Antwort zwischengespeichert wird, wird in jeder gef\u00e4lschten Antwort ein leicht abgewandelter Domainname angegeben (1.example.com, 2.example.com, 3.example.com usw.). <\/p>\n Um sich gegen diese Art von Angriff zu sch\u00fctzen, haben die Hersteller von DNS-Servern die zuf\u00e4llige Verteilung der Ausgangsportnummern eingef\u00fchrt, von denen aus die Anfragen zur Aufl\u00f6sung gesendet werden, wodurch der nicht ausreichend gro\u00dfe Identifizierer kompensiert wurde. Nach der Implementierung des Schutzes wurde es notwendig, neben dem Erraten der 16-Bit-Identifikationsnummer auch einen von 64.000 Ports zu erraten, was die Anzahl der M\u00f6glichkeiten auf 2^32 erh\u00f6hte. <\/p>\n Die SAD DNS-Methode erm\u00f6glicht es, die Bestimmung der Netzwerkportnummer erheblich zu vereinfachen und einen Angriff auf die klassische Kaminsky-Methode zu reduzieren. Der Angreifer kann auf nicht verwendete und aktive UDP-Ports zugreifen, indem er die Informationen \u00fcber die Aktivit\u00e4t von Netzwerkports nutzt, die bei der Bearbeitung von ICMP-Paketen zur\u00fcckflie\u00dfen. Diese Methode reduziert die Anzahl der m\u00f6glichen Varianten um den Faktor 10.000 \u2014 2^16+2^16 statt 2^32 (131_072 statt 4_294_967_296). Die Leckage von Informationen, die eine schnelle Bestimmung aktiver UDP-Ports erm\u00f6glicht, wird durch einen Fehler im Code zur Verarbeitung von ICMP-Paketen mit Fragmentierungsanforderungen (ICMP Fragmentation Needed-Flag) oder Weiterleitungsanforderungen (ICMP Redirect-Flag) verursacht. Das Senden solcher Pakete ver\u00e4ndert den Cache-Zustand im Netzwerkstack, was es erm\u00f6glicht, anhand der Reaktion des Servers zu bestimmen, welcher UDP-Port aktiv ist und welcher nicht. <\/p>\n Angriffsszenario: Wenn ein DNS-Resolver versucht, einen Domainnamen zu bestimmen, sendet er eine UDP-Anfrage an den zust\u00e4ndigen DNS-Server. In dem Moment, in dem der Resolver auf eine Antwort wartet, kann der Angreifer schnell die urspr\u00fcngliche Portnummer ermitteln, die f\u00fcr die Anfrage verwendet wurde, und eine gef\u00e4lschte Antwort an diesen Port senden, indem er sich als zust\u00e4ndiger DNS-Server ausgibt und Spoofing verwendet. IP-Adressen<\/a>Der DNS-Resolver wird die im gef\u00e4lschten Antwortpaket enthaltenen Daten in den Cache legen und eine Zeit lang bei allen anderen DNS-Anfragen f\u00fcr den Domainnamen die vom Angreifer vorget\u00e4uschte IP-Adresse zur\u00fcckgeben. \u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE-2020-25705. \u041d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0432 \u0446\u0435\u043b\u043e\u043c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e\u0434\u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043b\u0438\u0448\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0442\u0438\u043f\u0430 ICMP-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 UDP-\u043f\u043e\u0440\u0442\u043e\u0432. \u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0447\u0442\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102308","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Neue Variante des SAD DNS-Angriffs zur Einspeisung gef\u00e4lschter Daten in den DNS-Cache | ProHoster","description":"Eine Gruppe von Forschern der University of California, Riverside, hat eine neue Variante des SAD DNS-Angriffs (CVE-2021-20322) ver\u00f6ffentlicht, die funktioniert, obwohl im vergangenen Jahr Schutzma\u00dfnahmen zur Blockierung der Verwundbarkeit hinzugef\u00fcgt wurden.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-17T19:36:54+00:00","article:modified_time":"2021-11-17T19:36:54+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102308","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-17 19:38:17","updated":"2026-02-09 21:46:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102308","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=102308"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102308\/revisions"}],"predecessor-version":[{"id":160307,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102308\/revisions\/160307"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=102308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=102308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=102308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"