Gli specialisti dei laboratori di ricerca JSOF hanno segnalato sette nuove vulnerabilità nel server DNS/DHCP dnsmasq. Il server dnsmasq è molto popolare ed è utilizzato di default in molte distribuzioni Linux, così come in dispositivi di rete di Cisco, Ubiquiti e altri. Le vulnerabilità Dnspooq includono l'avvelenamento della cache DNS e l'esecuzione remota di codice. Le vulnerabilità sono state corrette in dnsmasq 2.83.
Nel 2008, il noto ricercatore di sicurezza Dan Kaminsky scoprì e rivelò un difetto fondamentale nel meccanismo DNS di Internet. Kaminsky dimostrò che i malintenzionati potevano sostituire indirizzi dei domini e rubare dati. Da allora, è diventata nota come "Attacco di Kaminsky".
Il DNS è considerato un protocollo insicuro da decenni, anche se si presume che garantisca un certo livello di integrità. È proprio per questo motivo che continua a essere molto utilizzato. Tuttavia, sono stati sviluppati meccanismi per aumentare la sicurezza del protocollo DNS originale. Questi meccanismi includono HTTPS, HSTS, DNSSEC e altre iniziative. Tuttavia, anche con tutti questi meccanismi, l'intercettazione del DNS rimane un attacco pericoloso nel 2021. La maggior parte di Internet si basa ancora sul DNS così come nel 2008 ed è vulnerabile a attacchi dello stesso tipo.
Vulnerabilità di avvelenamento della cache DNSpooq:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Queste vulnerabilità sono simili agli attacchi SAD DNS, di cui hanno recentemente riferito i ricercatori dell'Università della California e dell'Università Tsinghua. Le vulnerabilità SAD DNS e DNSpooq possono anche essere combinate per facilitare ulteriormente gli attacchi. Sono state segnalate anche ulteriori attacchi con conseguenze incerte attraverso sforzi congiunti delle università (Poison Over Troubled Forwarders e altro).
Le vulnerabilità funzionano riducendo l'entropia. A causa dell'uso di un hash debole per identificare le richieste DNS e della corrispondenza imprecisa tra richiesta e risposta, l'entropia può essere significativamente ridotta, rendendo necessario indovinare solo ~19 bit, il che rende possibile l'avvelenamento della cache. Il modo in cui dnsmasq gestisce i record CNAME consente di falsificare la catena dei record CNAME e avvelenare efficacemente fino a 9 record DNS contemporaneamente.
Vulnerabilità di overflow del buffer: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Tutte e quattro le vulnerabilità segnalate sono presenti nel codice con implementazione DNSSEC e si manifestano solo quando la verifica tramite DNSSEC è abilitata nelle impostazioni.
Fonte: linux.org.ru
