KeyTrap ja NSEC3 haavatavused, mis mõjutavad enamikku DNSSEC-i rakendustest

DNSSEC-protokolli erinevates rakendustes on tuvastatud kaks haavatavust, mis mõjutavad BIND, PowerDNS, dnsmasq, Knot Resolver ja Unbound DNS-resolvoreid. Need haavatavused võivad põhjustada teenuse keeldu DNS-resolvoreides, mis teevad validatsiooni DNSSEC-i abil, kuna need tekitavad kõrget CPU-koormust, mis takistab muude päringute töötlemist. Rünnaku teostamiseks on piisav saata DNS-resolverile, mis kasutab DNSSEC-i, päring, mille tulemusel pöördutakse ründaja hallatavasse DNS-ala.

Tuvastatud probleemid:

• CVE-2023-50387 (koodnimi KeyTrap) — spetsiaalselt kujundatud DNS-ala pöördumisel põhjustab teenuse keeldumise, kuna see tekitab märkimisväärset CPU-koormust ja pikendab DNSSEC-i kontrollimise kestust. Rünnaku teostamiseks peab ründaja registreerima pahatahtlikud seadistused oma kontrolli all olevas DNS-serveris ning saavutama, et rekursiivne DNS-server pöördub sellele alale, milles teenuse keeldumist üritab ründaja.

  Pahatahtlikud seadistused seisnevad konfliktsete võtmete, RRSET-i ja digiallkirjade kombinatsiooni kasutamises alal. Kontrollimise katse nende võtmete abil viib pikaajaliste ressursimahukate toiminguteni, mis võivad täielikult koormata CPU-d ja takistada muude päringute töötlemist (näiteks väidetakse, et BIND-ile korraldatud rünnaku jooksul suudeti peatada teiste päringute töötlemine 16 tunniks).
• CVE-2023-50868 (koodnimi NSEC3) — teenuse keeldumine, mis tuleneb märkimisväärsetest arvutustest NSEC3 (Next Secure v3) rekordite hajutamise ajal, kui töödeldakse spetsiaalselt kujundatud DNSSEC-i vastuseid. Rünnakumeetod sarnaneb esimese haavatavusega, välja arvatud, et ründaja DNS-serveris luuakse spetsiaalselt kujundatud NSEC3 RRSET-i rekordite kogum.

T märgiti, et eespool kirjeldatud haavatavuste ilmnemine on põhjustatud DNSSEC-i spetsiifikas määratud võimalusest, et DNS-server saadab kõik saadaval olevad krüptograafilised võtmed, samas kui resolverid peavad töötlema kõik saadud võtmed, kuni kontrollimine ei õnnestu või kõiki saadud võtmeid ei ole kontrollitud.

Võrreldes haavatavuste blokeerimise meetmetega on DNSSEC-i usaldusketi koostamiseks kaasatud piiratud hulk võtmeid ning NSEC3 jaoks on piiratud ka hash-kalkulatsioonide maksimaalne arv, samuti on iga RRSETi (võtmete ja allkirjade kombinatsioonid) ja iga vastuse kontrollimiskordade kogus piiratud. serverilt.

Haavatavused on kõrvaldatud Unbound'i (1.19.1), PowerDNS Recursor'i (4.8.6, 4.9.3, 5.0.2), Knot Resolver'i (5.7.1), dnsmasq'i (2.90) ja BIND'i (9.16.48, 9.18.24 ja 9.19.21) värskendustes. Haavatavuste kõrvaldamise staatust erinevates distributsioonides saab hinnata sellistel lehtedel: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.

DNS-serveri BIND versioonides 9.16.48, 9.18.24 ja 9.19.21 on täiendavalt kõrvaldatud veel mitmed haavatavused:

• CVE-2023-4408 — suurte DNS-sõnumite töötlemine võib põhjustada kõrget CPU koormust.
• CVE-2023-5517 — erilise vormingu tagasihalduse tsooni päring võib põhjustada väljalülitumise assert-kontrolli tõttu. Probleem ilmneb ainult konfiguratsioonides, kus on aktiveeritud 'nxdomain-redirect' seade.
• CVE-2023-5679 — rekursiivne hosti määramine võib põhjustada väljalülitumise assert-kontrolli tõttu süsteemides, kus on aktiveeritud DNS64 tugi ja 'serve-stale' (seaded, stale-cache-enable ja stale-answer-enable).
• CVE-2023-6516 — spetsiaalselt vormistatud rekursiivsed päringud võivad põhjustada protsessi mälu väära kasutamist.

Allikas: opennet.ru