{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"Die Schwachstellen KeyTrap und NSEC3, die die meisten Implementierungen von DNSSEC betreffen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In verschiedenen Implementierungen des DNSSEC-Protokolls wurden zwei Schwachstellen entdeckt, die DNS-Resolver wie BIND, PowerDNS, dnsmasq, Knot Resolver und Unbound betreffen. Diese Schwachstellen k\u00f6nnen zu einem Denial of Service (DoS) bei DNS-Resolvern f\u00fchren, die eine Validierung mit DNSSEC durchf\u00fchren, da sie zu einer hohen CPU-Auslastung f\u00fchren, die die Bearbeitung anderer Anfragen beeintr\u00e4chtigt. F\u00fcr einen Angriff reicht es aus, eine Anfrage an einen DNS-Resolver, der DNSSEC verwendet, zu senden, die auf eine speziell gestaltete DNS-Zone auf dem Server des Angreifers verweist. <\/p>\n
Identifizierte Probleme: <\/p>\n
\n
CVE-2023-50387 (Codename KeyTrap) \u2014 das Zugreifen auf speziell gestaltete DNS-Zonen f\u00fchrt zu einer Denial-of-Service-Attacke, weil erhebliche CPU-Last erzeugt wird und die DNSSEC-\u00dcberpr\u00fcfung lange dauert. Um einen Angriff durchzuf\u00fchren, muss eine von dem Angreifer kontrollierte DNS-Server-Domainzone mit sch\u00e4dlichen Einstellungen erstellt und die rekursive DNS-Serveradresse dazu gebracht werden, auf diese Zone zuzugreifen, um eine Dienstverweigerung zu erreichen.\n
Die sch\u00e4dlichen Einstellungen bestehen darin, eine Kombination aus widerspr\u00fcchlichen Schl\u00fcsseln, RRSET-Eintr\u00e4gen und digitalen Signaturen f\u00fcr die Zone zu verwenden. Der Versuch einer \u00dcberpr\u00fcfung mit diesen Schl\u00fcssel f\u00fchrt zu langwierigen, ressourcenintensiven Operationen, die die CPU vollst\u00e4ndig auslasten und die Bearbeitung anderer Anfragen blockieren k\u00f6nnen (es wird beispielsweise behauptet, dass bei einem Angriff auf BIND die Bearbeitung anderer Anfragen 16 Stunden lang gestoppt wurde). <\/p>\n
CVE-2023-50868 (Codename NSEC3) \u2014 eine Denial-of-Service-Attacke aufgrund erheblicher Berechnungen beim Hashing in NSEC3 (Next Secure v3)-Eintr\u00e4gen, wenn speziell gestaltete DNSSEC-Antworten verarbeitet werden. Die Angriffsmethode \u00e4hnelt der ersten Schwachstelle, wobei jedoch auf dem DNS-Server des Angreifers ein speziell gestaltetes NSEC3 RRSET erstellt wird. <\/ul>\n
Es wird darauf hingewiesen, dass das Auftreten der oben genannten Schwachstellen durch die Definition in der DNSSEC-Spezifikation ausgel\u00f6st wurde, die es dem DNS-Server erm\u00f6glicht, alle verf\u00fcgbaren kryptografischen Schl\u00fcssel zu senden, w\u00e4hrend die Resolver alle empfangenen Schl\u00fcssel bearbeiten m\u00fcssen, bis die \u00dcberpr\u00fcfung erfolgreich abgeschlossen ist oder alle empfangenen Schl\u00fcssel \u00fcberpr\u00fcft wurden. <\/p>\n
Um die Schwachstellen in den Resolvern zu blockieren, wird die maximale Anzahl von DNSSEC-Schl\u00fcsseln, die beim Aufbau einer Vertrauenskette verwendet werden, sowie die maximale Anzahl von Hash-Berechnungen f\u00fcr NSEC3 begrenzt; zudem werden die wiederholten \u00dcberpr\u00fcfungsversuche f\u00fcr jedes RRSET (Kombinationen von Schl\u00fcsseln und Signaturen) und jede Antwort limitiert. Server<\/a>. <\/p>\n