DNSpooq - sept nouvelles vulnérabilités dans dnsmasq

Des spécialistes des laboratoires de recherche JSOF ont signalé sept nouvelles vulnérabilités dans le serveur DNS/DHCP dnsmasq. Le serveur dnsmasq est très populaire et utilisé par défaut dans de nombreuses distributions Linux, ainsi que dans le matériel réseau Cisco, Ubiquiti et d'autres. Les vulnérabilités Dnspooq incluent l'empoisonnement du cache DNS et l'exécution de code à distance. Les vulnérabilités ont été corrigées dans dnsmasq 2.83.

En 2008, le célèbre chercheur en sécurité Dan Kaminsky a découvert et révélé un défaut fondamental dans le mécanisme DNS d'Internet. Kaminsky a prouvé que les attaquants pouvaient falsifier des adresses domaines et voler des données. Cela a depuis été connu sous le nom d'« attaque Kaminsky ».

Le DNS est considéré comme un protocole peu sûr depuis des décennies, bien qu'il soit supposé garantir un certain niveau d'intégrité. C'est pourquoi il reste largement utilisé. Dans le même temps, des mécanismes ont été développés pour améliorer la sécurité du protocole DNS d'origine. Ces mécanismes incluent HTTPS, HSTS, DNSSEC et d'autres initiatives. Cependant, même en présence de tous ces mécanismes, l'interception DNS reste une attaque dangereuse en 2021. La majeure partie d'Internet repose encore sur le DNS comme en 2008 et est vulnérable aux attaques de ce type.

Vulnérabilités d'empoisonnement du cache DNSpooq :
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Ces vulnérabilités sont similaires aux attaques SAD DNS récemment rapportées par des chercheurs de l'Université de Californie et de l'Université Tsinghua. Les vulnérabilités SAD DNS et DNSpooq peuvent également être combinées pour faciliter davantage les attaques. D'autres attaques aux conséquences floues ont également été reportées par des universités (Poison Over Troubled Forwarders, etc.).
Les vulnérabilités fonctionnent en réduisant l'entropie. En raison de l'utilisation d'un hachage faible pour identifier les requêtes DNS et d'une correspondance imprécise entre la requête et la réponse, l'entropie peut être considérablement réduite et il ne reste qu'environ 19 bits à deviner, ce qui rend possible l'empoisonnement du cache. La manière dont dnsmasq gère les enregistrements CNAME permet de falsifier la chaîne d'enregistrements CNAME et d'empoisonner efficacement jusqu'à 9 enregistrements DNS simultanément.

Vulnérabilités de dépassement de tampon : CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Les quatre vulnérabilités signalées sont présentes dans le code de mise en œuvre de DNSSEC et ne se manifestent que lorsqu'elles sont activées dans les paramètres de vérification via DNSSEC.

Source : linux.org.ru