JSOF-i uurimislaborite spetsialistid teatasid seitsmest uuest haavatavusest DNS/DHCP-serveris dnsmasq. Dnsmasq server on väga populaarne ja seda kasutatakse vaikimisi paljudes Linuxi distributsioonides, aga ka Cisco, Ubiquiti ja teiste võrguseadmetes. Dnspooqi haavatavused hõlmavad DNS-i vahemälu mürgitamist ja koodi kaugkäivitamist. dnsmasq 2.83 haavatavused on parandatud.
2008. aastal avastas tunnustatud turvateadlane Dan Kaminsky Interneti DNS-mehhanismi põhjaliku vea ja paljastas selle. Kaminsky tõestas, et ründajad võivad domeeniaadresse võltsida ja andmeid varastada. Sellest ajast alates on see saanud tuntuks kui "Kaminsky rünnak".
DNS-i on aastakümneid peetud ebaturvaliseks protokolliks, kuigi see peaks tagama teatud terviklikkuse taseme. Just sel põhjusel tuginetakse sellele endiselt tugevalt. Samal ajal töötati välja mehhanismid algse DNS-protokolli turvalisuse parandamiseks. Need mehhanismid hõlmavad HTTPS-i, HSTS-i, DNSSEC-i ja muid algatusi. Kuid isegi kui kõik need mehhanismid on paigas, on DNS-i kaaperdamine 2021. aastal endiselt ohtlik rünnak. Suur osa Internetist tugineb endiselt DNS-ile samamoodi nagu 2008. aastal ja on vastuvõtlik sama tüüpi rünnakutele.
DNSpooqi vahemälu mürgistuse haavatavused:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Need haavatavused on sarnased SAD DNS-i rünnakutega, millest hiljuti teatasid California ülikooli ja Tsinghua ülikooli teadlased. SAD DNS-i ja DNSpooqi haavatavusi saab ka kombineerida, et ründeid veelgi lihtsamaks muuta. Ebaselgete tagajärgedega täiendavatest rünnakutest on teatatud ka ülikoolide ühistööna (Poison Over Troubled Forwarders jt).
Haavatavus toimib entroopia vähendamise kaudu. Nõrga räsi kasutamise tõttu DNS-i päringute tuvastamiseks ja päringu ebatäpse sobitamise tõttu vastusega saab entroopiat oluliselt vähendada ja ainult ~19 bitti tuleb ära arvata, muutes vahemälu mürgituse võimalikuks. See, kuidas dnsmasq CNAME-kirjeid töötleb, võimaldab tal võltsida CNAME-kirjete ahelat ja mürgitada korraga kuni 9 DNS-kirjet.
Puhvri ületäitumise haavatavused: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Kõik 4 märgitud turvaauku on DNSSEC-i juurutusega koodis olemas ja ilmuvad ainult siis, kui DNSSEC-i kaudu kontrollimine on seadetes lubatud.
Allikas: linux.org.ru