Katse hankida välismaiste mobi domeenide jaoks TLS-sertifikaate, kasutades WHOIS-teenusega aegunud domeeni

WatchTowr Labsi teadlased avaldasid katse tulemused, mis hõlmasid vananenud WHOIS-teenuse hõivamist .MOBI domeenitsooni registripidajalt. Uuringu põhjuseks oli see, et registripidaja muutis WHOIS-i teenuseaadressi, teisaldades selle domeenist whois.dotmobiregistry.net uude hosti whois.nic.mobi. Samal ajal lõpetati domeen dotmobiregistry.net kasutamise ning 2023. aasta detsembris vabastati see ja sai registreerimiseks kättesaadavaks.

Teadlased kulutasid 20 dollarit ja ostsid selle domeeni, misjärel käivitasid nad oma serveris oma fiktiivse WHOIS-teenuse whois.dotmobiregistry.net. Üllatav oli see, et paljud süsteemid ei läinud üle uuele hostile whois.nic.mobi ja jätkasid vana nime kasutamist. Tänavu 30. augustist 4. septembrini registreeriti 2.5 miljonit vana nime päringut, mis saadeti enam kui 135 tuhandest unikaalsest süsteemist.

Päringute saatjate hulgas olid postiaadressid serverid valitsus- ja sõjaväeorganisatsioonid, kes kontrollisid meilides ilmuvaid domeene WHOIS-i, turvafirmade ja turvaplatvormide (VirusTotal, Group-IB) kaudu, samuti sertifitseerimisasutused, domeenide kontrollimise teenused, SEO teenused ja domeeniregistripidajad (nt domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io ja webchart.org).

Võimalust saata mis tahes andmeid vastusena päringule .MOBI domeenitsooni vanale WHOIS-teenusele kasutati taotlejate vastu suunatud mitut tüüpi rünnakute väljatöötamiseks. Esimene rünnak põhines eeldusel, et kui keegi jätkab taotluste saatmist pikalt asendatud teenusele, siis tõenäoliselt kasutab ta seda vananenud haavatavusi sisaldavate tööriistade abil.

Näiteks phpWHOIS-is 2015. aastal tuvastati haavatavus CVE-2015-5243, mis võimaldab WHOIS-i serveri poolt tagastatud spetsiaalselt vormindatud andmete sõelumisel käivitada ründaja koodi. Teine näide on 2021. aastal Fail2021Ban paketis tuvastatud haavatavus CVE-32749-2, mis võimaldab käivitada välist koodi, kui blokeerimishoiatuse genereerimisel kasutatud WHOIS-teenus tagastab valed andmed (Fail2Ban määras hosti administraatori meili WHOIS-i kaudu ja määras selle käsumeili käivitamisel ilma erimärkide nõuetekohase põgenemiseta).

Teine rünnak põhineb asjaolul, et mõned sertifitseerimisasutused pakuvad võimalust kontrollida domeeni omandiõigust domeeni registripidaja andmebaasis määratud meili kaudu, millele pääseb juurde WHOIS-protokolli kaudu. Selgus, et mitmed seda kinnitusmeetodit toetavad sertifitseerimisasutused jätkavad domeeni .MOBI tsooni jaoks vana WHOIS-i serveri kasutamist.

Seega, olles saanud kontrolli nime whois.dotmobiregistry.net üle, saavad ründajad oma andmed kätte, neid kontrollida ja hankida TLS-sertifikaat mis tahes .MOBI-tsooni domeeni jaoks." Näiteks eksperimendi ajal taotlesid teadlased GlobalSigni registripidajalt microsoft.mobi domeeni jaoks TLS-sertifikaati ja fiktiivse WHOIS-teenuse tagastatud e-posti aadress "whois@watchTowr.com" kuvati liideses domeeni omandiõiguse kinnituskoodi saatmiseks saadaolevana.

Allikas: opennet.ru