Ua hoʻopuka kahi hui o nā mea noiʻi mai ke Kulanui o Kaleponi, Riverside i kahi ʻano hou o ka hoʻouka kaua SAD DNS (CVE-2021-20322) e hana ana ʻoiai nā pale i hoʻohui ʻia i ka makahiki i hala e ālai i ka nāwaliwali o CVE-2020-25705. ʻO ke ʻano hou ke ʻano like me ka nāwaliwali o ka makahiki i hala a ʻokoʻa wale nō i ka hoʻohana ʻana i nā ʻano paʻi ICMP ʻokoʻa e nānā i nā awa UDP ikaika. ʻO ka hoʻouka kaua i manaʻo ʻia e hiki ke hoʻololi i nā ʻikepili fictitious i loko o ka cache server DNS, hiki ke hoʻohana ʻia e hoʻololi i ka IP address o kahi kikowaena arbitrary i loko o ka cache a hoʻihoʻi hou i nā noi i ka domain i ka server o ka mea hoʻouka.
ʻO ke ʻano i manaʻo ʻia e hana wale ʻia ma ka waihona pūnaewele Linux ma muli o kona pili ʻana i nā ʻano ʻano o ka mīkini hoʻoili paʻi ICMP ma Linux, e hana ana i kumu o ka leakage ʻikepili e hoʻomaʻamaʻa i ka hoʻoholo ʻana o ka helu awa UDP i hoʻohana ʻia e ka server e hoʻouna i kahi. noi waho. Hoʻololi ʻia nā hoʻololi ʻana i ka leakage ʻike i loko o ka kernel Linux ma ka hopena o ʻAukake (ua hoʻokomo ʻia ka hoʻoponopono i loko o ka kernel 5.15 a me ka hoʻonui ʻana o Kepakemapa i nā lālā LTS o ka kernel). Hoʻopau ka hoʻoponopono i ka hoʻololi ʻana i ka hoʻohana ʻana i ka algorithm hashing SipHash i nā huna pūnaewele ma kahi o Jenkins Hash. Hiki ke loiloi ʻia ke kūlana o ka hoʻoponopono ʻana i ka nāwaliwali i nā māhele ma kēia mau ʻaoʻao: Debian, RHEL, Fedora, SUSE, Ubuntu.
Wahi a ka poʻe noiʻi i ʻike i ka pilikia, ma kahi o 38% o nā mea hoʻonā i wehe ʻia ma ka pūnaewele he palupalu, me nā lawelawe DNS kaulana e like me OpenDNS a me Quad9 (9.9.9.9). No ka polokalamu kikowaena, hiki ke hoʻouka ʻia me ka hoʻohana ʻana i nā pūʻolo e like me BIND, Unbound a me dnsmasq ma kahi kikowaena Linux. ʻAʻole ʻike ʻia ka pilikia ma nā kikowaena DNS e holo ana ma nā ʻōnaehana Windows a me BSD. No ka hoʻokō pono ʻana i kahi hoʻouka kaua, pono e hoʻohana i ka spoofing IP, ʻo ia. pono ʻole ka ISP o ka mea hoʻouka kaua e ālai i nā ʻeke me kahi helu IP kumu hoʻopunipuni.
I mea e hoʻomanaʻo ai, ʻaʻole ka hoʻouka ʻana o SAD DNS i nā pale i hoʻohui ʻia i nā kikowaena DNS no ka pale ʻana i ke ʻano hana ʻawaʻawa cache DNS maʻamau i manaʻo ʻia ma 2008 e Dan Kaminsky. Hoʻoponopono ke ʻano o Kaminsky i ka liʻiliʻi liʻiliʻi o ke kahua nīnau nīnau DNS, he 16 mau bits wale nō. No ke koho ʻana i ka ʻike kikoʻī DNS kūpono e pono ai no ka spoofing inoa hoʻokipa, lawa ia e hoʻouna ma kahi o 7000 mau noi a hoʻohālikelike ma kahi o 140 tausani mau pane fictitious. Hoʻomaka ka hoʻouka ʻana i ka hoʻouna ʻana i ka nui o nā paʻi me kahi IP fictitious hoʻopaʻa ʻia a me nā mea hoʻokae DNS ʻokoʻa i ka DNS resolver. No ka pale ʻana i ka hoʻopaʻa ʻana o ka pane mua, loaʻa i kēlā me kēia pane dummy kahi inoa kikowaena i hoʻololi iki ʻia (1.example.com, 2.example.com, 3.example.com, etc.).
No ka pale ʻana mai i kēia ʻano hoʻouka kaua, ua hoʻokō nā mea hana kikowaena DNS i ka hāʻawi ʻana i nā helu o nā awa pūnaewele kumu kahi i hoʻouna ʻia ai nā noi hoʻoholo, i uku ʻia no ka lawa ʻole o ka nui o ka mea ʻike. Ma hope o ka hoʻokō ʻana i ka pale no ka hoʻouna ʻana i kahi pane fictitious, ma kahi o ke koho ʻana i kahi mea hōʻike 16-bit, ua lilo ia i mea pono e koho i kekahi o 64 tausani mau awa, i hoʻonui i ka helu o nā koho no ke koho ʻana i 2 ^ 32.
Hāʻawi ke ʻano SAD DNS iā ʻoe e hoʻomaʻamaʻa maʻalahi i ka hoʻoholo ʻana o ka helu awa pūnaewele a hōʻemi i ka hoʻouka ʻana i ke ʻano Kaminsky maʻamau. Hiki i ka mea hoʻouka ke ʻike i ke komo ʻana i nā awa UDP i hoʻohana ʻole ʻia a me ka hoʻohana ʻana i ka ʻike leaked e pili ana i ka hana o nā awa pūnaewele i ka wā e hana ai i nā ʻeke pane pane ICMP. ʻO ke ala e hiki ai iā mākou ke hōʻemi i ka helu o nā koho hulina e 4 mau kauoha o ka nui - 2^16+2^16 ma kahi o 2^32 (131_072 ma kahi o 4_294_967_296). ʻO ka leak o ka ʻike e hiki ai iā ʻoe ke hoʻoholo wikiwiki i nā awa UDP ikaika ma muli o kahi hemahema o ke code no ka hoʻoponopono ʻana i nā ʻeke ICMP me nā noi fragmentation (ICMP Fragmentation Needed flag) a i ʻole redirection (ICMP Redirect flag). ʻO ka hoʻouna ʻana i ia mau ʻeke e hoʻololi i ke ʻano o ka cache i loko o ka waihona pūnaewele, kahi e hiki ai ke hoʻoholo, ma muli o ka pane a ke kikowaena, ʻo ia ka UDP port e hana a ʻaʻole.
Hoʻouka kaua: Ke hoʻāʻo ka mea hoʻonā DNS e hoʻoholo i kahi inoa domain, hoʻouna ʻo ia i kahi nīnau UDP i ka server DNS e lawelawe ana i ka domain. ʻOiai ke kali nei ka mea hoʻoholo i ka pane, hiki i ka mea hoʻouka ke hoʻoholo koke i ka helu awa kumu i hoʻohana ʻia no ka hoʻouna ʻana i ka noi a hoʻouna i kahi pane hoʻopunipuni iā ia, e hoʻohālikelike ana i ka server DNS e lawelawe ana i ka domain me ka hoʻohana ʻana i ka IP address spoofing. Na ka mea hoʻonā DNS e hūnā i ka ʻikepili i hoʻouna ʻia ma ka pane hoʻopunipuni a no kekahi manawa e hoʻihoʻi i ka helu IP i pani ʻia e ka mea hoʻouka no nā noi DNS ʻē aʻe no ka inoa domain.
Source: opennet.ru