{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"Die Schwachstellen KeyTrap und NSEC3 betreffen die meisten Implementierungen von DNSSEC","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In verschiedenen Implementierungen des DNSSEC-Protokolls wurden zwei Schwachstellen entdeckt, die die DNS-Resolver BIND, PowerDNS, dnsmasq, Knot Resolver und Unbound betreffen. Diese Schwachstellen erm\u00f6glichen eine Denial-of-Service-Attacke auf die DNS-Resolver, die die Validierung mithilfe von DNSSEC durchf\u00fchren, aufgrund einer hohen CPU-Auslastung, die die Verarbeitung anderer Anfragen st\u00f6rt. Um einen Angriff durchzuf\u00fchren, reicht es aus, eine Anfrage an einen DNS-Resolver zu senden, der DNSSEC verwendet und zu einer speziell gestalteten DNS-Zone auf dem Server des Angreifers f\u00fchrt. <\/p>\n
Festgestellte Probleme: <\/p>\n
\n
CVE-2023-50387 (Codename KeyTrap) \u2014 der Zugriff auf speziell gestaltete DNS-Zonen f\u00fchrt zu einem Dienstausfall aufgrund einer erheblichen CPU-Belastung und einer langen Ausf\u00fchrungszeit der DNSSEC-Pr\u00fcfung. F\u00fcr einen Angriff ist es erforderlich, auf einem vom Angreifer kontrollierten DNS-Server eine Dom\u00e4ne mit sch\u00e4dlichen Einstellungen zu hosten und den rekursiven DNS-Server dazu zu bringen, diese Dom\u00e4ne abzufragen, wodurch ein Dienstausfall herbeigef\u00fchrt wird.\n
Sch\u00e4dliche Einstellungen bestehen darin, in der Zone eine Kombination von sich gegenseitig widersprechenden Schl\u00fcsseln, RRSET-Eintr\u00e4gen und digitalen Signaturen zu verwenden. Der Versuch, mit diesen Schl\u00fcsseln zu pr\u00fcfen, f\u00fchrt zur Ausf\u00fchrung langwieriger, ressourcenintensiver Operationen, die die CPU vollst\u00e4ndig auslasten und die Verarbeitung anderer Anfragen blockieren k\u00f6nnen (so wird behauptet, dass w\u00e4hrend eines Angriffs auf BIND die Verarbeitung anderer Anfragen bis zu 16 Stunden gestoppt werden konnte). <\/p>\n
CVE-2023-50868 (Codename NSEC3) \u2014 ein Dienstausfall aufgrund signifikanter Berechnungen beim Berechnen von Hashes in NSEC3-Datens\u00e4tzen (Next Secure v3) bei der Verarbeitung speziell gestalteter DNSSEC-Antworten. Die Angriffsmethode \u00e4hnelt der ersten Schwachstelle, mit dem Unterschied, dass auf dem DNS-Server des Angreifers ein speziell gestalteter Satz von NSEC3 RRSET-Datens\u00e4tzen erstellt wird. <\/ul>\n
Es wird festgestellt, dass das Auftreten der oben genannten Schwachstellen durch die Definition in der DNSSEC-Spezifikation verursacht wird, die es dem DNS-Server erm\u00f6glicht, alle verf\u00fcgbaren kryptografischen Schl\u00fcssel zu senden, w\u00e4hrend die Resolver alle empfangenen Schl\u00fcssel verarbeiten m\u00fcssen, bis die \u00dcberpr\u00fcfung erfolgreich abgeschlossen ist oder alle empfangenen Schl\u00fcssel \u00fcberpr\u00fcft wurden. <\/p>\n
Um Schwachstellen in Resolvern zu blockieren, ist die maximale Anzahl der in den Prozess zur Erstellung der Vertrauensw\u00fcrdigkeit eingesetzten DNSSEC-Schl\u00fcssel sowie die maximale Anzahl der Hash-Berechnungen f\u00fcr NSEC3 begrenzt. Au\u00dferdem sind die Wiederholungsversuche zur \u00dcberpr\u00fcfung f\u00fcr jedes RRSET (Kombination von Schl\u00fcsseln und Signaturen) und jede Antwort limitiert. Server<\/a>. <\/p>\n