{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"Vulnerabilit\u00e0 KeyTrap e NSEC3, che interessano la maggior parte delle implementazioni DNSSEC","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In diverse implementazioni del protocollo DNSSEC sono state identificate due vulnerabilit\u00e0 che riguardano i resolver DNS BIND, PowerDNS, dnsmasq, Knot Resolver e Unbound. Le vulnerabilit\u00e0 consentono il verificarsi di un'interruzione del servizio sui resolver DNS che effettuano validazione tramite DNSSEC, a causa di un alto carico sulla CPU che ostacola l'elaborazione di altre richieste. Per eseguire un attacco \u00e8 sufficiente inviare al resolver DNS che utilizza DNSSEC una richiesta che porta a una consultazione a una zona DNS appositamente formattata sul server dell'attaccante. <\/p>\n
Problemi riscontrati: <\/p>\n
\n
CVE-2023-50387 (nome in codice KeyTrap) \u2014 l'accesso a zone DNS appositamente formattate pu\u00f2 causare un'interruzione del servizio a causa di un carico significativo sulla CPU e lunghi tempi di verifica DNSSEC. Per eseguire un attacco, \u00e8 necessario ospitare su un server DNS controllato dall'attaccante una zona di dominio con impostazioni malevole e provocare l'accesso a questa zona da parte di un server DNS ricorsivo, il cui servizio deve essere interrotto dall'attaccante.\n
Le impostazioni dannose consistono nell'utilizzare per la zona una combinazione di chiavi in conflitto, registrazioni RRSET e firme digitali. Il tentativo di verifica utilizzando queste chiavi porta all'esecuzione di operazioni lunghe e dispendiose in termini di risorse, che possono sovraccaricare completamente la CPU e bloccare l'elaborazione di altre richieste (ad esempio, si afferma che durante un attacco a BIND sia stato possibile fermare l'elaborazione di altre richieste per 16 ore). <\/p>\n
CVE-2023-50868 (nome in codice NSEC3) \u2014 interruzione del servizio a causa dell'esecuzione di calcoli intensivi nel calcolo degli hash nelle registrazioni NSEC3 (Next Secure v3) durante l'elaborazione di risposte DNSSEC appositamente formattate. Il metodo d'attacco \u00e8 simile alla prima vulnerabilit\u00e0, a meno che non venga creato un set di registrazioni NSEC3 RRSET specificamente formattato sul server DNS dell'aggressore. <\/ul>\n
Si segnala che l'emergere delle vulnerabilit\u00e0 sopra menzionate \u00e8 dovuto alla definizione specificata nella specifica DNSSEC della possibilit\u00e0 per il server DNS di inviare tutte le chiavi crittografiche disponibili, mentre i resolver devono elaborare tutte le chiavi ricevute finch\u00e9 la verifica non viene completata con successo o tutte le chiavi ricevute non vengono verificate. <\/p>\n
Come misura per bloccare le vulnerabilit\u00e0 nei resolver, il numero massimo di chiavi DNSSEC coinvolte nel processo di costruzione della catena di fiducia \u00e8 limitato, cos\u00ec come il numero massimo di calcoli di hash per NSEC3, e sono limitati i tentativi di verifica per ogni RRSET (combinazioni di chiavi e firme) e per ogni risposta. server<\/a>. <\/p>\n