डीएनएस कैश में फर्जी डेटा डालने के लिए नया एसएडी डीएनएस हमला

कैलिफोर्निया विश्वविद्यालय, रिवरसाइड के शोधकर्ताओं की एक टीम ने SAD DNS हमले (CVE-2021-20322) का एक नया संस्करण प्रकाशित किया है जो CVE-2020-25705 भेद्यता को अवरुद्ध करने के लिए पिछले साल जोड़े गए सुरक्षा उपायों के बावजूद काम करता है। नई विधि मोटे तौर पर पिछले वर्ष की भेद्यता के समान है और इसमें केवल सक्रिय UDP पोर्ट की जांच के लिए भिन्न प्रकार के ICMP पैकेटों के उपयोग में अंतर है। प्रस्तावित हमला DNS सर्वर कैश में काल्पनिक डेटा के प्रतिस्थापन की अनुमति देता है, जिसका उपयोग कैश में किसी भी डोमेन के IP पते को बदलने और हमलावर के सर्वर पर डोमेन के लिए अनुरोधों को पुनर्निर्देशित करने के लिए किया जा सकता है।

प्रस्तावित विधि केवल नेटवर्क स्टैक में ही कार्यात्मक है। Linux आईसीएमपी पैकेट प्रोसेसिंग तंत्र के संचालन की विशिष्टताओं से संबंध के कारण Linuxजो डेटा लीक के स्रोत के रूप में कार्य करता है, जिससे उपयोग किए गए यूडीपी पोर्ट नंबर का निर्धारण सरल हो जाता है। सर्वर बाह्य अनुरोध भेजने के लिए। सूचना रिसाव को रोकने वाले परिवर्तन कर्नेल में स्वीकार कर लिए गए हैं। Linux अगस्त के अंत में (यह फिक्स कर्नेल 5.15 और सितंबर के एलटीएस कर्नेल अपडेट में शामिल किया गया था)। इस फिक्स में जेनकिंस हैश के बजाय नेटवर्क कैश के लिए सिपहैश हैशिंग एल्गोरिदम पर स्विच करना शामिल है। वितरणों में इस भेद्यता फिक्स की स्थिति का आकलन इन पृष्ठों पर किया जा सकता है: Debianआरएचईएल, फेडोरा, सुसे Ubuntu.

समस्या की पहचान करने वाले शोधकर्ताओं के अनुसार, नेटवर्क पर लगभग 38% ओपन रिजॉल्वर असुरक्षित हैं, जिनमें ओपनडीएनएस और क्वाड9 (9.9.9.9) जैसी लोकप्रिय डीएनएस सेवाएं शामिल हैं। सर्वर सॉफ़्टवेयर के लिए, हमला निम्न प्रकार से किया जा सकता है। LinuxBIND, Unbound और dnsmasq जैसे सर्वर पैकेज। DNS सर्वरों पर चल रहे हैं Windows और बीएसडी सिस्टम में, यह समस्या सामने नहीं आती। एक सफल हमले के लिए आईपी स्पूफिंग आवश्यक है, जिसका अर्थ है कि हमलावर के आईएसपी को स्पूफ किए गए स्रोत आईपी पते वाले पैकेट को ब्लॉक नहीं करना चाहिए।

याद दिला दें कि SAD DNS हमला, डैन कामिन्स्की द्वारा 2008 में प्रस्तावित क्लासिक DNS कैश पॉइजनिंग विधि को अवरुद्ध करने के लिए DNS सर्वरों में जोड़े गए सुरक्षा उपायों को दरकिनार कर देता है। कामिन्स्की की विधि DNS क्वेरी आईडी फ़ील्ड के छोटे आकार में हेरफेर करती है, जो केवल 16 बिट्स का होता है। किसी होस्टनाम को स्पूफ करने के लिए आवश्यक सही DNS लेनदेन पहचानकर्ता को खोजने के लिए, लगभग 7000 अनुरोध भेजना और लगभग 140 नकली प्रतिक्रियाओं का अनुकरण करना पर्याप्त है। इस हमले में बड़ी संख्या में पैकेट्स को काल्पनिक IP बाइंडिंग और विभिन्न DNS लेनदेन पहचानकर्ताओं के साथ DNS रिज़ॉल्वर पर भेजा जाता है। प्रथम प्रतिक्रिया को कैश होने से रोकने के लिए, प्रत्येक डमी प्रतिक्रिया में थोड़ा संशोधित डोमेन नाम (1.example.com, 2.example.com, 3.example.com, आदि) शामिल होता है।

इस प्रकार के हमले से बचाव के लिए, DNS सर्वर निर्माताओं ने स्रोत नेटवर्क पोर्ट संख्याओं का एक यादृच्छिक वितरण लागू किया, जहां से समाधान अनुरोध भेजे जाते हैं, जो पहचानकर्ता के अपर्याप्त रूप से बड़े आकार की भरपाई करता है। नकली प्रतिक्रिया भेजने के लिए सुरक्षा लागू करने के बाद, 16-बिट पहचानकर्ता का चयन करने के अलावा, 64 हजार पोर्टों में से एक का चयन करना आवश्यक हो गया, जिससे चयन के लिए विकल्पों की संख्या 2^32 तक बढ़ गई।

एसएडी डीएनएस विधि नेटवर्क पोर्ट संख्या के निर्धारण को मौलिक रूप से सरल बनाती है और क्लासिक कामिन्स्की विधि के हमले को कम करती है। एक हमलावर ICMP प्रतिक्रिया पैकेटों को संसाधित करते समय नेटवर्क पोर्ट गतिविधि जानकारी के लीक का लाभ उठाकर अप्रयुक्त और सक्रिय UDP पोर्ट तक पहुंच निर्धारित कर सकता है। यह विधि गणना विकल्पों की संख्या को 4 क्रम परिमाण तक कम करने की अनुमति देती है - 2^16 के स्थान पर 2^16+2^32 (131_072_4_294 के स्थान पर 967_296)। सूचना का रिसाव, जो आपको सक्रिय UDP पोर्ट्स को शीघ्रता से निर्धारित करने में सक्षम बनाता है, विखंडन (ICMP Fragmentation Needed flag) या पुनर्निर्देशन (ICMP Redirect flag) के अनुरोधों के साथ ICMP पैकेट्स के प्रसंस्करण के लिए कोड में दोष के कारण होता है। ऐसे पैकेट भेजने से नेटवर्क स्टैक में कैश की स्थिति बदल जाती है, जिससे हमें सर्वर की प्रतिक्रिया के आधार पर यह निर्धारित करने में मदद मिलती है कि कौन से UDP पोर्ट सक्रिय हैं और कौन से नहीं।

हमले का परिदृश्य: जब कोई DNS रिजॉल्वर किसी डोमेन नाम को रिजॉल्व करने का प्रयास करता है, तो वह उस डोमेन को संभालने वाले DNS सर्वर को एक UDP क्वेरी भेजता है। रिजॉल्वर द्वारा प्रतिक्रिया की प्रतीक्षा करते समय, हमलावर क्वेरी भेजने के लिए उपयोग किए गए स्रोत पोर्ट नंबर का तुरंत पता लगा सकता है और स्पूफिंग का उपयोग करके डोमेन को संभालने वाले DNS सर्वर का रूप धारण करते हुए एक जाली प्रतिक्रिया भेज सकता है। आईपी ​​पतेDNS रिजॉल्वर जाली प्रतिक्रिया में प्रेषित डेटा को कैश करेगा और कुछ समय के लिए, डोमेन नाम के लिए अन्य सभी DNS प्रश्नों के लिए हमलावर द्वारा प्रतिस्थापित IP पते को वापस करेगा।

स्रोत: opennet.ru