DNSpooq – seitse uut haavatavust dnsmasq-s.

JSOF teadusuuringute laborid teatasid seitsmest uuest haavatavusest DNS/DHCP serveris dnsmasq. Server dnsmasq on väga populaarne ja seda kasutatakse vaikimisi paljudes Linuxi distributsioonides, samuti võrguvarustuses, nagu Cisco, Ubiquiti ja teised. Haavatavused Dnspooq hõlmavad DNS-i vahemälu saastamist ning kaugkoodi täitmist. Haavatavused on parandatud dnsmasq 2.83-s.

2008. aastal avastas tuntud turva-uuringute ekspert Dan Kaminsky fundamentaalse puuduse DNS-i mehhanismis internetis. Kaminsky tõestas, et kurjategijad saavad adresse muuta domeenide ja andmeid varastada. Sellest ajast peale on see tuntud kui "Kaminsky rünnak".

DNS on juba aastakümneid peetud ebaturvaliseks protokolliks, kuigi eeldatakse, et see tagab teatava taseme terviklikkuse. Just sellepärast toetutakse sellele endiselt väga tugevalt. Samal ajal on välja töötatud mehhanismid DNS-i põh protokolli turvalisuse suurendamiseks. Nende mehhanismide hulka kuuluvad HTTPS, HSTS, DNSSEC ja muud algatused. Siiski on isegi kõigi nende mehhanismide olemasolul DNS-i vahelejätmine endiselt ohtlik rünnak 2021. aastal. Suur osa internetist toetub DNS-ile sama palju nagu 2008. aastal ning on sama tüüpi rünnakutele alti.

DNSpooq vahemälu saastamise haavatavused:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Need haavatavused on sarnased hiljuti Californias asuvate ülikoolide ja Tsinghua ülikooli teadlaste teatatud SAD DNS rünnakutega. SAD DNS ja DNSpooq haavatavusi saab samuti ühendada, et suurendada rünnakute tõhusust. Ühiste jõupingutustega ülikoolide poolt on teatatud ka teistest rünnakutest, millel on ebaselged tagajärjed (Poison Over Troubled Forwarders jne).
Haavatavused toimivad entropia vähendamise kaudu. Nõrga räsi kasutamine DNS-i päringute tuvastamiseks ja vastuste eb täpne vastavus võimaldab oluliselt vähendada entropiat ning tuleb ära arvata vaid ~19 bitti, mis teeb vahemälu saastamise võimaliku. See, kuidas dnsmasq käsitleb CNAME-kandeid, võimaldab CNAME-kantide ahelate vale kuvamise, saastades tõhusalt kuni 9 DNS-i kande korraga.

Puhveri ülevoolu haavatavused: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Kõik neli märgistatud haavatavust on olemas DNSSEC-i rakenduskoodis ja ilmnevad ainult DNSSEC-i kontrollimise seadistamisel.

Allikas: linux.org.ru