Grupa istraživača s Kalifornijskog sveučilišta u Riversideu objavila je novu varijantu napada SAD DNS (CVE-2021-20322), koja radi unatoč zaštiti dodanoj prošle godine za blokiranje ranjivosti CVE-2020-25705. Nova metoda je u osnovi slična ranijoj ranjivosti i razlikuje se samo korištenjem drugačijeg tipa ICMP paketa za provjeru aktivnih UDP portova. Predloženi napad omogućava umetanje lažnih podataka u DNS cache servera, što se može iskoristiti za zamjenu IP adrese proizvoljnom domenu u cacheu i preusmjeravanje zahtjeva na server napadača.
Predložena metoda funkcioniše samo u mrežnom sloju Linuxa zbog vezanosti za specifičnosti rada mehanizma obrade ICMP paketa u Linuxu, koji je izvor curenja podataka, olakšavajući identifikaciju UDP port broja koji se koristi. serverom za slanje vanjskog zahtjeva. Izmjene koje blokiraju curenje informacija usvojene su u jezgru Linuxa krajem kolovoza (ispravka je uključena u jezgru 5.15 i rujanske nadogradnje LTS grana jezgra). Ispravka se svodi na prelazak na korištenje algoritma za hashiranje SipHash umjesto Jenkins Hash u mrežnim cache-ima. Status otklanjanja ranjivosti u distribucijama može se procijeniti prema podacima na ovim stranicama: Debian, RHEL, Fedora, SUSE, Ubuntu.
Prema podacima istraživača koji su identificirali problem, ranjivosti je podložno oko 38% otvorenih resolvera dostupnih na mreži, uključujući popularne DNS usluge poput OpenDNS i Quad9 (9.9.9.9). Što se tiče serverskog softvera, napad se može izvesti korištenjem paketa kao što su BIND, Unbound i dnsmasq na Linux serverima. Na DNS serverima koji su podižu s Windows i BSD sustava, problem se ne manifestira. Za uspješno provođenje napada potrebno je koristiti IP spoofing, tj. potrebno je da pružatelj napadača ne blokira pakete s lažnom izvorom IP adresom.
Podsjećamo da SAD DNS napad omogućava zaobilaženje zaštite dodane na DNS servere kako bi se blokirala klasična metoda trovanja DNS predmemorije, koju je 2008. godine predložio Dan Kaminsky. Kaminski metoda manipuliše neznatnom veličinom polja sa identifikacionim brojem DNS upita, koji iznosi samo 16 bita. Za odabir ispravnog identifikatora DNS transakcije potrebnog za spoofing imena hosta, dovoljno je poslati otprilike 7000 upita i simulirati oko 140 tisuća lažnih odgovora. Napad se svodi na slanje velikog broja paketa s lažnom povezanošću na IP i s različitim identifikatorima DNS transakcije na DNS resolver. Kako bi se spriječilo keširanje prvog odgovora, u svakom lažnom odgovoru navodi se malo izmijenjeno ime domene (1.example.com, 2.example.com, 3.example.com itd.).
Za zaštitu od ove vrste napada proizvođači DNS servera implementirali su slučajnu raspodjelu brojeva izvornih mrežnih portova s kojih se šalju upiti za rješavanje, što je nadoknadilo nedovoljno veliku veličinu identifikatora. Nakon implementacije zaštite, uz odabir 16-bitnog identifikatora, postalo je neophodno odabrati i jedan od 64 tisuće portova za slanje lažnog odgovora, što je povećalo broj opcija za odabir na 2^32.
SAD DNS metoda omogućuje radikalno pojednostavljenje određivanja broja mrežnog porta i svodi napad na klasičnu metodu Kaminskog. Napadač može odrediti upit neiskorištenim i aktivnim UDP portovima koristeći curenje informacija o aktivnosti mrežnih portova pri obradi odgovornih ICMP paketa. Ova metoda omogućuje smanjenje broja opcija pretraživanja za 4 reda veličine — 2^16+2^16 umjesto 2^32 (131_072 umjesto 4_294_967_296). Curenje informacija koje omogućuju brzo određivanje aktivnih UDP portova uzrokovano je nedostatkom u kodu obrade ICMP paketa s upitima za fragmentaciju (flag ICMP Fragmentation Needed) ili preusmjeravanje (flag ICMP Redirect). Slanje sličnih paketa mijenja stanje keša u mrežnoj stog, što omogućuje na temelju reakcije servera utvrditi koji UDP portovi su aktivni, a koji nisu.
Napadni scenarij: Kada DNS-rezolver pokušava odrediti domensko ime, šalje UDP-upit na poslužiteljski DNS-poslužitelj. U trenutku kada rezolver čeka odgovor, napadač može brzo odrediti broj izvorne priključne točke koja je korištena za slanje upita i poslati lažni odgovor na taj broj, predstavljajući se kao poslužiteljski DNS-poslužitelj koristeći spoofing. IP adreseDNS-rezolver će staviti u cache podatke proslijeđene u lažnom odgovoru i neko će vrijeme na sve druge DNS-upite za domensko ime vraćati podmetnuti IP-adresu napadača.
Izvor: opennet.ru
