Uus SAD DNS rünnaku variant, et suunata valeandmeid DNS vahemällu

California University Riverside'i teadlaste rühm avaldas uue SAD DNS rünnaku variandi (CVE-2021-20322), mis töötab vaatamata eelmisel aastal lisatud kaitsele, mis pidi blokeerima haavatavuse CVE-2020-25705. Uus meetod on oma olemuselt sarnane eelmisel aastal avastatud haavatavusele ja erineb ainult selle poolest, et kasutatakse teistsuguseid ICMP-pakette aktiivsete UDP-portide kontrollimiseks. Pakutud rünnak võimaldab sisestada valeandmeid DNS-serveri vahemälesse, mida saab kasutada juhusliku domeeni IP-aadressi asendamiseks vahemäles ja suunamiseks domeeni päringud ründaja serverisse.

Pakutud meetod on toimiv ainult Linuxi võrgustikustiku tõttu, sest see sõltub Linuxi ICMP-pakettide töötlemise mehhanismi omadustest, mis on andmelekkimise allikaks, mis lihtsustab UDP-pordi numbri määramist, mida on kasutatud serverilt välise päringu saatmiseks. Tehingud, mis blokeerivad teabe leket, võeti Linuxi kernelisse vastu augusti lõpus (parandus lisati kernelisse 5.15 ja septembri LTS-kernelite uuendustesse). Parandus seisneb selles, et võrgu vahemäludes hakatakse kasutama SipHash häsingu algoritmi Jenkins Hashi asemel. Haavatavuse kõrvaldamise staatust jaotustes saab hinnata nende lehtede kaudu: Debian, RHEL, Fedora, SUSE, Ubuntu.

Rünnaku avastavate teadlaste andmetel on haavatav umbes 38% võrkus olevatest avatud resolvijatest, sealhulgas populaarsetest DNS-teenustest nagu OpenDNS ja Quad9 (9.9.9.9). Mis puudutab serveri tarkvara, siis rünnakut saab teostada Linuxi serveris selliste paketiga nagu BIND, Unbound ja dnsmasq. Windowsi ja BSD-süsteemide kasutamisel töötavad DNS-serverid selle probleemiga ei ole kokku puutunud. Rünnaku edukaks sooritamiseks on vajalik IP-spoofing, s.o ründaja teenusepakkuja ei tohi blokeerida valeallika IP-aadressiga pakette.

Tuletame meelde, et SAD DNS rünnak võimaldab ületada kaitset, mis on lisatud DNS-serveritesse klassikalise DNS-i vahemälu mürgitamise meetodi blokeerimiseks, mille pakkus välja Dan Kaminsky 2008. aastal. Kaminsky meetod manipuleerib DNS-päringu identifikaatori väga väikese välja suurusega, mis on vaid 16 bitti. Korraliku DNS-tehingu identifikaatori leidmiseks, mis on vajalik hostinime valeandmete edastamiseks, piisab umbes 7000 päringu saatmisest ja umbes 140 000 valevastuse simuleerimisest. Rünnak seisneb suure hulga pakettide saatmises DNS-resolvendile vale IP-aadressiga ja erinevate DNS-tehingu identifikaatoritega. Esmase vastuse vahemällu salvestamise vältimiseks sisaldab iga valevastus veidi muudetud domeeninime (1.example.com, 2.example.com, 3.example.com jne).

Selle rünnaku tüübi vastu on DNS-serverite tootjad rakendanud juhuslikku lähteportide numbrite jaotust, kust saadetakse resolvendi päringud, mis kompenseerib identifikaatori liiga väikest suurust. Pärast kaitse rakendamist on valevastuse saatmiseks lisaks 16-bitise identifikaatori leidmisele olnud vajalik leida ka üks 64 000 porti, mis suurendab katsete arvu kuni 2^32.

SAD DNS meetod võimaldab oluliselt lihtsustada võrgupordi numbri määramist ja viia rünnaku tagasi klassikalise Kaminsky meetodi tasemele. Ründaja suudab määrata kasutamata ja aktiivsed UDP-portid, kasutades teavet võrgupordide aktiivsusest, mis lekib vastavate ICMP-pakettide töötlemise käigus. Meetod võimaldab vähendada katsete arvu 4 korda — 2^16+2^16 asemel 2^32 (131_072 asemel 4_294_967_296). Teave, mis võimaldab kiiresti määrata aktiivsed UDP-portid, lekib viga ICMP-pakettide töötlemise koodis fragmentimise (ICMP Fragmentation Needed) või ümbersuunamise (ICMP Redirect) märkide käsitlemisel. Selliste pakettide saatmine muudab vahemälu seisundit võrgusteekides, mis võimaldab serveri reaktsiooni põhjal kindlaks teha, milline UDP-port on aktiivne ja milline mitte.

Rünnakuskeem: Kui DNS-resolver üritab määrata domeeninime, saadab ta UDP-päringu DNS-teenindavale domeeniserverile. Sel hetkel, kui resolver ootab vastust, saab ründaja kiiresti kindlaks teha algse portaandi ja saata sellele vale vastuse, esitades end DNS-teenindava domeeniserverina, kasutades petmist. IP-aadressidDNS-resolver salvestab vale vastuse kaudu edastatud andmed vahemällu ja mõnda aega tagastab kõikidele muudele DNS-päringutele sama domeeninimega ründaja määratud IP-aadressi.

Allikas: opennet.ru