Katse saada TLS-sertifikaate teiste domeenide mobiilide jaoks, kasutades aegunud domeeni WHOIS-teenusega

WatchTowr Labs'i teadlased avaldasid katse tulemused, mille käigus nad haarasid kasutusest väljakujunenud WHOIS-teenuse domeeni „.MOBI” registrist. Uuringu põhjuseks oli see, et registrija muutis WHOIS-teenuse aadressi, viies selle domeenilt whois.dotmobiregistry.net uuele hostile whois.nic.mobi. Samal ajal lõpetati domeeni dotmobiregistry.net kasutamine ning detsembris 2023 vabastati see ja see oli kergesti registreeritav.

Teadlased kulutasid 20 dollarit ja ostsid selle domeeni, seejärel käivitasid nad oma serveris oma vale WHOIS-teenuse whois.dotmobiregistry.net. Üllatust tekitas see, et paljud süsteemid ei lülitunud uuele hostile whois.nic.mobi ning jätkasid vana nime kasutamist. Ajavahemikul 30. augustist kuni 4. septembrini registreeriti 2,5 miljonit päringut vana nime kaudu, mis saadeti üle 135 000 unikaalse süsteemi.

Päringute saatjate seas olid kohal serverid riiklike ja sõjaväeorganisatsioonide töötajad, kes kontrollisid emailides esinevaid domene WHOIS'i kaudu, samuti turvafirmade ja julgeoleku platvormide (VirusTotal, Group-IB) esindajad, sertifitseerimisagentuurid, domeenide kontrollimise teenused, SEO teenused ja domeenide registrijad (näiteks domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io ja webchart.org).

Vana WHOIS-teenuse domeeni „.MOBI” päringutele vastamiseks andmete saatmise võimalust kasutati mitmesuguste rünnakute arendamiseks päringute saatjate vastu. Esimene rünnakuvariant tugines oletusele, et kui keegi jätkab päringute saatmist ammu asendatud teenusele, siis on tõenäoliselt, et nad teevad seda vananenud tööriistadega, mis sisaldavad haavatavusi.

Näiteks avastati 2015. aastal phpWHOIS-s haavatavus CVE-2015-5243, mis võimaldas ründeid, kui WHOIS server tagastas spetsiaalselt vormindatud andmeid, mis võimaldasid ründaja koodi täitmist. Teise näitena on 2021. aastal avastatud haavatavus CVE-2021-32749 paketis Fail2Ban, mis võimaldas välise koodi täitmist, kui WHOIS-teenus tagastas valeandmeid, mida kasutati blokeerimise hoiatuse genereerimise protsessis (Fail2Ban tuvastas WHOIS'i kaudu hosti administraatori emaili ja kasutas seda mail-käsku käivitades ilma erimärkide korralikku tagasikutsumist).

Teine rünnak põhineb sellel, et mõned sertifikaadi väljaandjad pakuvad domeeni omandi tõendamise võimalust e-posti kaudu, mis on registreerija andmebaasis, mis on saadaval WHOIS-protokolli kaudu. Selgus, et mitu sertifikaadi väljaandjat, kes toetavad sellist kontrollimeetodit, kasutavad endiselt vana WHOIS-serverit domeenitsooni „.MOBI“ jaoks.

Seega, saades kontrolli whois.dotmobiregistry.net üle, saavad ründajad oma andmed tagasi tuua, kinnitada ja saada TLS-sertifikaat iga domeeni jaoks tsoonis .MOBI. Näiteks katse käigus küsisid uurijad registreerijalt GlobalSign TLS-sertifikaadi domeeni microsoft.mobi jaoks ja tagastatud vale WHOIS-teenuse e-post „whois@watchTowr.com“ näidati liideses kui olemasolev domeeni omandi tõenduskoodi saatmiseks.

Allikas: opennet.ru