कीट्रैप और NSEC3 कमजोरियाँ अधिकांश DNSSEC कार्यान्वयन को प्रभावित कर रही हैं

DNSSEC प्रोटोकॉल के विभिन्न कार्यान्वयनों में दो कमज़ोरियों की पहचान की गई है, जो DNS रिज़ॉल्वर BIND, PowerDNS, dnsmasq, Knot Resolver और Unbound को प्रभावित करती हैं। ये कमज़ोरियाँ DNS रिज़ॉल्वर की सेवा को अस्वीकार करने की अनुमति देती हैं जो DNSSEC का उपयोग करके सत्यापन करते हैं क्योंकि CPU पर अधिक लोड होने से अन्य अनुरोधों की प्रक्रिया में बाधा उत्पन्न होती है। हमला करने के लिए, DNSSEC का उपयोग करके DNS रिज़ॉल्वर को अनुरोध भेजना पर्याप्त है जिसके परिणामस्वरूप हमलावर के सर्वर पर विशेष रूप से डिज़ाइन किए गए DNS ज़ोन तक पहुँच प्राप्त होती है।

पहचाने गए मुद्दे:

• CVE-2023-50387 (कोडनाम KeyTrap) - विशेष रूप से डिज़ाइन किए गए DNS ज़ोन तक पहुँचने पर, यह CPU पर एक महत्वपूर्ण लोड के निर्माण और DNSSEC सत्यापन के लंबे निष्पादन के कारण सेवा से इनकार करता है। हमले को अंजाम देने के लिए, हमलावर द्वारा नियंत्रित DNS सर्वर पर दुर्भावनापूर्ण सेटिंग्स के साथ एक डोमेन ज़ोन रखना आवश्यक है, और एक पुनरावर्ती DNS सर्वर के इस ज़ोन तक पहुँच प्राप्त करना भी आवश्यक है, जिसकी सेवा से इनकार हमलावर को प्राप्त होता है।

  दुर्भावनापूर्ण सेटिंग्स ज़ोन के लिए परस्पर विरोधी कुंजियों, RRSET रिकॉर्ड और डिजिटल हस्ताक्षरों के संयोजन का उपयोग करने तक सीमित होती हैं। इन कुंजियों का उपयोग करके सत्यापन करने का प्रयास करने से लंबे, संसाधन-गहन संचालन होते हैं जो CPU को पूरी तरह से बाधित कर सकते हैं और अन्य अनुरोधों के प्रसंस्करण को अवरुद्ध कर सकते हैं (उदाहरण के लिए, BIND पर हमले के कारण अन्य अनुरोधों का प्रसंस्करण 16 घंटों तक रुका हुआ बताया जाता है)।
• CVE-2023-50868 (कोडनाम NSEC3) एक सेवा अस्वीकृति भेद्यता है, जो विशेष रूप से तैयार किए गए DNSSEC प्रतिक्रियाओं को संसाधित करते समय NSEC3 (नेक्स्ट सिक्योर v3) रिकॉर्ड में हैश की गणना करते समय महत्वपूर्ण कम्प्यूटेशनल ओवरहेड के कारण होती है। हमले की विधि पहली भेद्यता के समान ही है, सिवाय इसके कि हमलावर के DNS सर्वर पर NSEC3 RRSET रिकार्डों का एक विशेष रूप से डिज़ाइन किया गया सेट बनाया जाता है।

यह ध्यान देने योग्य है कि उपर्युक्त कमजोरियां DNSSEC विनिर्देश में DNS सर्वर की सभी उपलब्ध क्रिप्टोग्राफिक कुंजियों को भेजने की क्षमता की परिभाषा के कारण उत्पन्न होती हैं, जबकि रिज़ॉल्वर को किसी भी प्राप्त कुंजी को तब तक संसाधित करना चाहिए जब तक कि जांच सफल न हो जाए या सभी प्राप्त कुंजियों का सत्यापन न हो जाए।

रिजॉल्वर में कमजोरियों को रोकने के उपायों के रूप में, विश्वास की श्रृंखला बनाने की प्रक्रिया में शामिल DNSSEC कुंजियों की अधिकतम संख्या और NSEC3 के लिए हैश गणनाओं की अधिकतम संख्या सीमित है, और प्रत्येक RRSET (कुंजियों और हस्ताक्षरों का संयोजन) और प्रत्येक प्रतिक्रिया के लिए सत्यापन के पुनः प्रयास सीमित हैं। सर्वर.

इन खामियों को Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90), और BIND (9.16.48, 9.18.24, और 9.19.21) के अपडेट में ठीक कर दिया गया है। इन डिस्ट्रीब्यूशन में खामियों को ठीक करने की स्थिति इन पेजों पर देखी जा सकती है: Debian, UbuntuSUSE, RHEL, Fedora, Arch Linuxजेंटू, स्लैकवेयर, नेटबीएसडी, फ्रीबीएसडी।

BIND DNS सर्वर संस्करण 9.16.48, 9.18.24 और 9.19.21 में कई और कमजोरियाँ ठीक कर दी गई हैं:

• CVE-2023-4408 - बड़े DNS संदेशों को पार्स करने से CPU पर अधिक लोड हो सकता है।
• CVE-2023-5517 - विशेष रूप से तैयार किया गया रिवर्स ज़ोन अनुरोध, एश्यर्ट चेक ट्रिगर होने के कारण क्रैश का कारण बन सकता है। यह समस्या केवल "nxdomain-redirect" सेटिंग सक्षम वाले कॉन्फ़िगरेशन में होती है।
• CVE-2023-5679 - पुनरावर्ती होस्ट समाधान, DNS64 समर्थन और "serve-stale" सक्षम (सेटिंग्स, stale-cache-enable और stale-answer-enable) वाले सिस्टम पर अभिकथन जाँच ट्रिगर होने के कारण क्रैश का कारण बन सकता है।
• CVE-2023-6516 - विशेष रूप से तैयार की गई पुनरावर्ती क्वेरीज़ के कारण प्रक्रिया की मेमोरी समाप्त हो सकती है।

स्रोत: opennet.ru