Teadlaste rĂŒhm Tel Avivi ĂŒlikoolist ja Interdistsiplinaarsest keskusest Herzliyas (Iisrael) uue rĂŒnnaku meetodi (), mis vĂ”imaldab kasutada mis tahes DNS-resolveereid kui liikluse tugevdamise seadmeid, mis tagavad kuni 1621 kordse tugevdamise pakettide arvu (iga saadetud pĂ€ringu kohta resolverile on vĂ”imalik saata 1621 pĂ€ringut sihtserverisse) ja kuni 163 korda liikluses.
Probleem on seotud protokolli töö eripĂ€radega ja see mĂ”jutab kĂ”iki DNS-servereid, mis toetavad pĂ€ringute rekursiivset töötlemist, sealhulgas (CVE-2020-8616), (CVE-2020-12667), (CVE-2020-10995), ja (CVE-2020-12662), samuti avalikud DNS-teenused Google, Cloudflare, Amazon, Quad9, ICANN ja teised ettevĂ”tted. Probleemi parandamine oli kooskĂ”lastatud DNS-serverite arendajatega, kes samal ajal vabastasid uuendused haavatavuse eemaldamiseks oma toodetest. Kaitse rĂŒnnaku eest on rakendatud vĂ€ljaannetes
, , , .
RĂŒnnak pĂ”hineb rĂŒndaja poolt esitatud pĂ€ringute kasutamisel, mis viitavad suurele hulgale varem nĂ€htamatutele vale NS-kirjadele, mille kohaselt delegeeritakse nime mÀÀramine, kuid vastuses ei ole glue-kirju NS-serverite IP-aadresside teabega. NĂ€iteks saadab rĂŒndaja pĂ€ringu sd1.attacker.com nime mÀÀramiseks, kontrollides DNS-serverit, mis vastutab domeeni attacker.com eest. Vastuseks rĂŒndaja DNS-serverile suunatud resolveri pöördumisele antakse vastus, mis delegeerib sd1.attacker.com adressi mÀÀramise ohvri DNS-serverile, mĂ€rkides vastuses NS-kirjad, kuid ilma NS-serverite IP-aadresside detailideta. Kuna nimetatud NS-server ei ole varem teada ja tema IP-aadress ei ole toodud, ĂŒritab resolver mÀÀrata NS-serveri IP-aadressi, suunates pĂ€ringu ohvri DNS-serverile, mis teenindab sihtdomeeni (victim.com).
Probleem on selles, et rĂŒndaja vĂ”ib vastuses esitada tohutu loendi mitte korduvatest NS-serveritest koos puuduvate vale alamdomeeninimedega ohvri nime all (fake-1.victim.com, fake-2.victim.com,⊠fake-1000.victim.com). Resolver proovib saata pĂ€ringu DNS-serverile, kuid saab vastuse, et domeeni ei leitud, pĂ€rast mida proovib ta mÀÀrata jĂ€rgmise NS-serveri nimekirjast ja nii edasi, kuni on proovinud kĂ”iki rĂŒndaja loetletud NS-kirjeid. Sellest tulenevalt saadab rĂŒndaja ĂŒhe pĂ€ringu korral resolver tohutu hulga pĂ€ringuid NS-hostide mÀÀramiseks. Kuna NS-serverite nimed genereeritakse juhuslikult ja viitavad mitteolevatele alamdomeenidele, ei salvesta neid vahemĂ€lu ja iga rĂŒndaja pĂ€ring pĂ”hjustab DNS-serverile, mis teenindab ohvri domeeni, tohutu pĂ€ringute voo.
Uurijad uurisid avalike DNS-resolverite haavatavuse ulatust ja mÀÀrasid, et CloudFlare'i (1.1.1.1) resolverile pÀringute edastamisel saavutatakse pakettide arvu (PAF, Packet Amplification Factor) 48-kordne suurenemine, Google'i (8.8.8.8) puhul 30 korda, FreeDNS-i (37.235.1.174) puhul 50 korda, OpenDNS-i (208.67.222.222) puhul 32 korda. MÀrgatavamad nÀitajad on tÀheldatud
Level3 (209.244.0.3) â 273 korda, Quad9 (9.9.9.9) â 415 korda
SafeDNS (195.46.39.39) â 274 korda, Verisign (64.6.64.6) â 202 korda,
Ultra (156.154.71.1) â 405 korda, Comodo Secure (8.26.56.26) â 435 korda, DNS.Watch (84.200.69.80) â 486 korda, ja Norton ConnectSafe (199.85.126.10) â 569 korda. BIND 9.12.3 baasil serverite puhul vĂ”ib pĂ€ringute paralleelsete töötlemise tĂ”ttu tugevuse tase ulatuda kuni 1000. Knot Resolver 5.1.0 puhul on tugevuse tase umbes paarikĂŒmne korra (24-48), kuna NS-nimede mÀÀramine toimub jĂ€rjestikku ja on piiratud ĂŒhes pĂ€ringus lubatud nime lahendamise sammude arvu tĂ”ttu.
MÀÀratletakse kaks peamist kaitsestrateegiat. DNSSEC-iga sĂŒsteemide jaoks kasutada kuna pĂ€ringud saadetakse juhuslike nimedega, et vĂ€ltida DNS vahemĂ€lu ĂŒmbersĂ”itu. Meetodi pĂ”hiolemus on negatiivsete vastuste genereerimine ilma volitatud DNS-serveritele pöördumata, kasutades DNSSEC-i kaudu vahemike kontrollimist. Lihtsam viis on piirata nime hulka, mida saab ĂŒhes volitatud pĂ€ringus mÀÀrata, kuid see viis vĂ”ib teatud olemasolevate konfiguratsioonide tĂ”ttu probleeme tekitada, kuna protokollis ei ole mÀÀratud limiite.
Allikas: opennet.ru
