{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"Les vuln\u00e9rabilit\u00e9s KeyTrap et NSEC3 affectent la plupart des impl\u00e9mentations de DNSSEC.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Deux vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 identifi\u00e9es dans diverses impl\u00e9mentations du protocole DNSSEC, affectant les r\u00e9solveurs DNS BIND, PowerDNS, dnsmasq, Knot Resolver et Unbound. Ces vuln\u00e9rabilit\u00e9s permettent de provoquer un d\u00e9ni de service des r\u00e9solveurs DNS effectuant une validation via DNSSEC, en raison d'une charge CPU \u00e9lev\u00e9e qui entrave le traitement d'autres requ\u00eates. Pour mener l'attaque, il suffit d'envoyer au r\u00e9solveur DNS utilisant DNSSEC une requ\u00eate qui entra\u00eene l'acc\u00e8s \u00e0 une zone DNS sp\u00e9cialement con\u00e7ue sur le serveur de l'attaquant. <\/p>\n
Probl\u00e8mes identifi\u00e9s : <\/p>\n
\n
CVE-2023-50387 (nom de code KeyTrap) \u2014 l'acc\u00e8s \u00e0 des zones DNS sp\u00e9cialement con\u00e7ues entra\u00eene un d\u00e9ni de service en raison d'une charge CPU importante et d'une longue v\u00e9rification DNSSEC. Pour r\u00e9aliser l'attaque, il est n\u00e9cessaire d'h\u00e9berger sur un serveur DNS contr\u00f4l\u00e9 par l'attaquant une zone de domaine avec des param\u00e8tres malveillants, et d'obtenir une requ\u00eate vers cette zone depuis un serveur DNS r\u00e9cursif dont l'attaquant cherche \u00e0 provoquer le d\u00e9ni de service.\n
Les configurations malveillantes consistent \u00e0 utiliser pour la zone une combinaison de cl\u00e9s conflictuelles, d'enregistrements RRSET et de signatures num\u00e9riques. Une tentative de v\u00e9rification utilisant ces cl\u00e9s entra\u00eene l'ex\u00e9cution d'op\u00e9rations co\u00fbteuses en ressources, qui peuvent saturer compl\u00e8tement le CPU et bloquer le traitement d'autres requ\u00eates (par exemple, il est rapport\u00e9 qu'une attaque contre BIND a permis d'arr\u00eater le traitement d'autres requ\u00eates pendant 16 heures). <\/p>\n
CVE-2023-50868 (nom de code NSEC3) \u2014 d\u00e9ni de service d\u00fb \u00e0 l'ex\u00e9cution de calculs intensifs lors du calcul des hachages dans les enregistrements NSEC3 (Next Secure v3) lors du traitement de r\u00e9ponses DNSSEC sp\u00e9cialement con\u00e7ues. La m\u00e9thode d'attaque est similaire \u00e0 la premi\u00e8re vuln\u00e9rabilit\u00e9, sauf qu'un ensemble d'enregistrements NSEC3 RRSET sp\u00e9cialement con\u00e7u est cr\u00e9\u00e9 sur le serveur DNS de l'attaquant. <\/ul>\n
Il est not\u00e9 que l'apparition des vuln\u00e9rabilit\u00e9s susmentionn\u00e9es est due \u00e0 la d\u00e9finition dans la sp\u00e9cification DNSSEC de la possibilit\u00e9 pour le serveur DNS d'envoyer toutes les cl\u00e9s cryptographiques disponibles, alors que les r\u00e9solveurs doivent traiter toutes les cl\u00e9s re\u00e7ues, tant que la v\u00e9rification n'est pas r\u00e9ussie ou que toutes les cl\u00e9s re\u00e7ues n'ont pas \u00e9t\u00e9 v\u00e9rifi\u00e9es. <\/p>\n
Pour rem\u00e9dier aux vuln\u00e9rabilit\u00e9s dans les r\u00e9solveurs, le nombre maximal de cl\u00e9s DNSSEC impliqu\u00e9es dans le processus de construction de la cha\u00eene de confiance est limit\u00e9, tout comme le nombre maximal de calculs de hachages pour NSEC3, et les tentatives de v\u00e9rification sont \u00e9galement restreintes pour chaque RRSET (combinaison de cl\u00e9s et de signatures) et chaque r\u00e9ponse. de serveurs<\/a>. <\/p>\n