{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"Las vulnerabilidades KeyTrap y NSEC3, que afectan a la mayor\u00eda de las implementaciones de DNSSEC","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En las diferentes implementaciones del protocolo DNSSEC se han identificado dos vulnerabilidades que afectan a los resolutores DNS BIND, PowerDNS, dnsmasq, Knot Resolver y Unbound. Las vulnerabilidades permiten provocar una denegaci\u00f3n de servicio en los resolutores DNS que realizan validaciones mediante DNSSEC, debido a una carga alta en la CPU que impide el procesamiento de otras solicitudes. Para llevar a cabo el ataque, basta con enviar al resolutor DNS que utiliza DNSSEC una consulta que provoque la referencia a una zona DNS especialmente dise\u00f1ada en el servidor del atacante. <\/p>\n
Problemas identificados: <\/p>\n
\n
CVE-2023-50387 (nombre en c\u00f3digo KeyTrap) \u2014 al acceder a zonas DNS especialmente configuradas, se produce una denegaci\u00f3n de servicio debido a la generaci\u00f3n de una carga significativa en el CPU y prolongadas verificaciones de DNSSEC. Para llevar a cabo el ataque, es necesario alojar en un servidor DNS controlado por el atacante una zona de dominio con configuraciones maliciosas, as\u00ed como lograr que un servidor DNS recursivo acceda a esa zona, resultando en una denegaci\u00f3n de servicio deseada por el atacante.\n
Las configuraciones maliciosas consisten en utilizar para la zona una combinaci\u00f3n de claves conflictivas, registros RRSET y firmas digitales. Intentar verificar utilizando estas claves conduce a la realizaci\u00f3n de operaciones largas y que requieren muchos recursos, que pueden saturar completamente la CPU y bloquear el procesamiento de otras solicitudes (por ejemplo, se afirma que durante un ataque a BIND se logr\u00f3 detener el procesamiento de otras solicitudes durante 16 horas). <\/p>\n
CVE-2023-50868 (nombre en c\u00f3digo NSEC3) \u2014 denegaci\u00f3n de servicio debido a la realizaci\u00f3n de c\u00e1lculos significativos al calcular hashes en los registros NSEC3 (Next Secure v3) al procesar respuestas DNSSEC especialmente formateadas. El m\u00e9todo de ataque es similar a la primera vulnerabilidad, con la diferencia de que se crea en el servidor DNS del atacante un conjunto de registros NSEC3 RRSET especialmente configurados. <\/ul>\n
Se destaca que la aparici\u00f3n de las vulnerabilidades mencionadas anteriormente se debe a la definici\u00f3n en la especificaci\u00f3n DNSSEC de la posibilidad de que el servidor DNS env\u00ede todas las claves criptogr\u00e1ficas disponibles, mientras que los resolutores deben procesar cualquier clave recibida hasta que la verificaci\u00f3n se complete con \u00e9xito o todas las claves recibidas hayan sido verificadas. <\/p>\n
Como medidas para bloquear vulnerabilidades en los resolvers, se ha limitado el n\u00famero m\u00e1ximo de claves DNSSEC implicadas en el proceso de construcci\u00f3n de la cadena de confianza, as\u00ed como el n\u00famero m\u00e1ximo de c\u00e1lculos de hashes para NSEC3, y se han restringido los reintentos de verificaci\u00f3n para cada RRSET (combinaciones de claves y firmas) y cada respuesta. servidores<\/a>. <\/p>\n