Un gruppo di ricercatori dell'Universit\u00e0 della California, Riverside, ha pubblicato una nuova variante dell'attacco SAD DNS (CVE-2021-20322), efficace nonostante la protezione aggiunta l'anno scorso per bloccare la vulnerabilit\u00e0 CVE-2020-25705. Il nuovo metodo \u00e8 sostanzialmente simile alla vulnerabilit\u00e0 dello scorso anno e differisce solo per l'utilizzo di un altro tipo di pacchetti ICMP per verificare le porte UDP attive. L'attacco proposto consente di inserire dati fasulli nella cache del server DNS, di cui si pu\u00f2 approfittare per sostituire negli archivi l'indirizzo IP di un dominio a caso e reindirizzare le richieste verso il dominio su un server controllato dall'attaccante. <\/p>\n
Il metodo proposto \u00e8 operativo solo nel stack di rete Linux a causa della sua dipendenza dalle peculiarit\u00e0 del meccanismo di gestione dei pacchetti ICMP in Linux, che \u00e8 fonte di fuga di dati, semplificando l'identificazione del numero della porta UDP utilizzata server<\/a> per inviare richieste esterne. Le modifiche che bloccano la fuga di informazioni sono state integrate nel kernel Linux a fine agosto (la correzione \u00e8 stata inclusa nel kernel 5.15 e negli aggiornamenti di settembre delle branche LTS del kernel). La correzione consiste nel passare all'uso dell'algoritmo di hashing SipHash nelle cache di rete invece di Jenkins Hash. \u00c8 possibile valutare lo stato della vulnerabilit\u00e0 nei seguenti distribuzioni: Debian, RHEL, Fedora, SUSE, Ubuntu. <\/p>\n Secondo i ricercatori che hanno identificato il problema, circa il 38% dei resolver aperti sulla rete \u00e8 vulnerabile, inclusi i noti servizi DNS come OpenDNS e Quad9 (9.9.9.9). Per quanto riguarda il software del server, l'attacco pu\u00f2 essere effettuato utilizzando su un server Linux pacchetti come BIND, Unbound e dnsmasq. Su server DNS che funzionano con Windows e sistemi BSD, il problema non si manifesta. Per eseguire con successo l'attacco \u00e8 necessario utilizzare lo spoofing IP, cio\u00e8 \u00e8 necessario che il fornitore dell'attaccante non blocchi i pacchetti con un IP di origine contraffatto. <\/p>\n Ricordiamo che l'attacco SAD DNS consente di superare la protezione aggiunta ai server DNS per bloccare il classico metodo di avvelenamento della cache DNS, proposto nel 2008 da Dan Kaminsky. Il metodo di Kaminsky manipola la dimensione ridotta del campo con il numero di identificazione della richiesta DNS, che \u00e8 di soli 16 bit. Per trovare il corretto identificatore della transazione DNS necessaria per lo spoofing del nome host, \u00e8 sufficiente inviare circa 7000 richieste e simulare circa 140.000 risposte fasulle. L'attacco consiste nell'inviare al risolutore DNS un gran numero di pacchetti con associazioni fasulle a IP e con identificatori di transazione DNS diversificati. Per prevenire la memorizzazione nella cache della prima risposta, in ogni risposta fasulla viene indicato un nome di dominio leggermente modificato (1.example.com, 2.example.com, 3.example.com, ecc.). <\/p>\n Per proteggersi da questo tipo di attacco, i produttori di server DNS hanno implementato una distribuzione casuale dei numeri delle porte di rete sorgente da cui vengono inviate le richieste di risoluzione, compensando cos\u00ec la dimensione non sufficientemente ampia dell'identificatore. Dopo l'implementazione della protezione, per inviare una risposta fasulla \u00e8 diventato necessario selezionare non solo il identificatore di 16 bit, ma anche una delle 64.000 porte, aumentando il numero di opzioni per la ricerca a 2^32. <\/p>\n Il metodo SAD DNS consente di semplificare drasticamente la determinazione del numero della porta di rete e di ridurre l'attacco al classico metodo di Kaminsky. L'attaccante pu\u00f2 identificare le chiamate a porte UDP inutilizzate e attive, sfruttando la fuga di informazioni sull'attivit\u00e0 delle porte di rete durante l'elaborazione delle risposte ai pacchetti ICMP. Questo metodo permette di ridurre di 4 ordini di grandezza il numero delle combinazioni da esplorare \u2014 2^16+2^16 anzich\u00e9 2^32 (131_072 invece di 4_294_967_296). La fuga di informazioni, che consente di identificare rapidamente le porte UDP attive, \u00e8 causata da una mancanza nel codice di gestione dei pacchetti ICMP con richieste di frammentazione (flag ICMP Fragmentation Needed) o di reindirizzamento (flag ICMP Redirect). L'invio di tali pacchetti modifica lo stato della cache nello stack di rete, consentendo, sulla base della reazione del server, di determinare quale delle porte UDP \u00e8 attiva e quale no. <\/p>\n Scenario di attacco: Quando un resolver DNS tenta di determinare un nome di dominio, invia una richiesta UDP al server DNS che ospita il dominio. Nel momento in cui il resolver attende una risposta, l'attaccante pu\u00f2 rapidamente determinare il numero della porta sorgente utilizzato per inviare la richiesta e inviare una risposta fasulla, spacciandosi per il server DNS che ospita il dominio, utilizzando lo spoofing. Indirizzi IP<\/a>Il resolver DNS memorizzer\u00e0 nella cache i dati forniti nella risposta fasulla e per un certo periodo di tempo restituir\u00e0 l'indirizzo IP sostituito dall'attaccante per tutte le altre richieste DNS relative al nome di dominio. \u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE-2020-25705. \u041d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0432 \u0446\u0435\u043b\u043e\u043c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e\u0434\u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043b\u0438\u0448\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0442\u0438\u043f\u0430 ICMP-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 UDP-\u043f\u043e\u0440\u0442\u043e\u0432. \u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0447\u0442\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102308","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Nuova variante dell'attacco SAD DNS per l'inserimento di dati falsi nella cache DNS | ProHoster","description":"Un gruppo di ricercatori dell'Universit\u00e0 della California, Riverside ha pubblicato una nuova variante dell'attacco SAD DNS (CVE-2021-20322), che funziona nonostante le protezioni aggiunte lo scorso anno per bloccare la vulnerabilit\u00e0.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-17T19:36:54+00:00","article:modified_time":"2021-11-17T19:36:54+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102308","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-17 19:38:17","updated":"2026-02-09 21:46:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/102308","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=102308"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/102308\/revisions"}],"predecessor-version":[{"id":160307,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/102308\/revisions\/160307"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=102308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=102308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=102308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"