A JSOF kutató laboratórium szakemberei hét új sebezhetőségről számoltak be a dnsmasq DNS/DHCP szerverén. A dnsmasq szerver rendkívül népszerű, és alapértelmezés szerint sok Linux disztribúcióban, valamint Cisco, Ubiquiti és más hálózati berendezésekben használják. A Dnspooq sebezhetőségek közé tartozik a DNS-készlet mérgezése és a távoli kódvégrehajtás. A sebezhetőségeket a dnsmasq 2.83 verziójában javították.
2008-ban a biztonsági kutató, Dan Kaminsky felfedezett és nyilvánosságra hozott egy alapvető hiányosságot az Internet DNS mechanizmusában. Kaminsky bizonyította, hogy a támadók képesek hamisítani az címeket domainok és ellopni az adatokat. Ezt azóta "Kaminsky Támadásnak" nevezik.
A DNS évtizedek óta biztonságtalan protokollnak számít, bár azt feltételezik, hogy biztosít egy bizonyos szintű integritást. Éppen ezért még mindig nagymértékben támaszkodnak rá. Ugyanakkor biztonsági mechanizmusokat dolgoztak ki a DNS alap protokolljának fejlesztésére. Ezek a mechanizmusok közé tartozik a HTTPS, HSTS, DNSSEC és más kezdeményezések. Mindazonáltal, még a fenti mechanizmusokkal együtt is, a DNS elfogás még mindig veszélyes támadásnak számít 2021-ben. Az internet legnagyobb része továbbra is úgy támaszkodik a DNS-re, mint 2008-ban, és ki van téve az ilyen típusú támadásoknak.
A DNSpooq DNS-készlet mérgezési sebezhetőségek:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Ezek a sebezhetőségek hasonlítanak a nemrégiben a Kaliforniai Egyetem és a Tsinghua Egyetem kutatói által jelentett SAD DNS támadásokra. A SAD DNS és a DNSpooq sebezhetőségek együttesen is alkalmazhatók a támadások megkönnyítése érdekében. További, tisztázatlan következményekkel járó támadásokról is beszámoltak az egyetemek közös erőfeszítéseivel (Poison Over Troubled Forwarders stb.).
A sebezhetőségek az entrópia csökkentésén keresztül működnek. A DNS-kérések azonosításához használt gyenge hash és a kérés-válasz emlékezetbe illesztésének hiánya miatt az entrópia jelentősen csökkenthető, és csak ~19 bitet kell kitalálni, ami lehetővé teszi a készlet mérgezését. A dnsmasq CNAME rekordok feldolgozási módja lehetővé teszi a CNAME rekordlánc hamisítását, és hatékonyan teszi lehetővé akár 9 DNS-rekord egyidejű mérgezését.
Buffer overflow vulnerabilities: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. All four identified vulnerabilities are present in the code implementing DNSSEC and only manifest when DNSSEC validation is enabled in the settings.
Forrás: linux.org.ru
