Gli esperti dei laboratori di ricerca JSOF hanno segnalato sette nuove vulnerabilità nel server DNS/DHCP dnsmasq. Il server dnsmasq è molto popolare ed è utilizzato per impostazione predefinita in molte distribuzioni Linux, così come in apparecchiature di rete Cisco, Ubiquiti e altro. Le vulnerabilità Dnspooq comprendono l'avvelenamento della cache DNS e l'esecuzione remota di codice. Le vulnerabilità sono state corrette in dnsmasq 2.83.
Nel 2008, il noto ricercatore in sicurezza Dan Kaminsky ha scoperto e rivelato un difetto fondamentale nel meccanismo DNS su Internet. Kaminsky ha dimostrato che gli aggressori possono alterare gli indirizzi domini e rubare dati. Da allora, questo è diventato noto come «Attacco di Kaminsky».
Il DNS è stato considerato un protocollo insicuro per decenni, sebbene si supponga che garantisca un certo livello di integrità. Proprio per questo motivo si fa ancora grande affidamento su di esso. Nel frattempo, sono stati sviluppati meccanismi per migliorare la sicurezza del protocollo DNS originale. Questi meccanismi includono HTTPS, HSTS, DNSSEC e altre iniziative. Tuttavia, anche con tutti questi meccanismi, l'intercettazione del DNS rimane un attacco pericoloso nel 2021. Gran parte di Internet fa ancora affidamento sul DNS come nel 2008 e rimane vulnerabile a questo tipo di attacchi.
Vulnerabilità di avvelenamento della cache DNSpooq:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Queste vulnerabilità sono simili agli attacchi SAD DNS, recentemente segnalati da ricercatori dell'Università della California e dell'Università di Tsinghua. Le vulnerabilità SAD DNS e DNSpooq possono anche essere combinate per facilitare ulteriormente gli attacchi. Sono state segnalate anche ulteriori attacchi con conseguenze poco chiare grazie agli sforzi congiunti delle università (Poison Over Troubled Forwarders e altri).
Le vulnerabilità operano riducendo l'entropia. A causa dell'uso di un hash debole per identificare le richieste DNS e di una corrispondenza imprecisa della richiesta alla risposta, l'entropia può essere ridotta significativamente e bisogna indovinare solo ~19 bit, rendendo possibile l'avvelenamento della cache. Il modo in cui dnsmasq gestisce i record CNAME consente di falsificare la catena dei record CNAME e di avvelenare efficacemente fino a 9 record DNS contemporaneamente.
Vulnerabilità di buffer overflow: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Tutte e quattro le vulnerabilità segnalate sono presenti nel codice con implementazione di DNSSEC e si manifestano solo quando il controllo tramite DNSSEC è abilitato nelle impostazioni.
Fonte: linux.org.ru
