ರಿವರ್‌ಸೈಡ್‌ನ ಕ್ಯಾಲಿಫೋರ್ನಿಯಾ ವಿಶ್ವವಿದ್ಯಾನಿಲಯದ ಸಂಶೋಧಕರ ತಂಡವು SAD DNS ದಾಳಿಯ (CVE-2021-20322) ಹೊಸ ರೂಪಾಂತರವನ್ನು ಪ್ರಕಟಿಸಿದೆ, ಇದು CVE-2020-25705 ದುರ್ಬಲತೆಯನ್ನು ತಡೆಯಲು ಕಳೆದ ವರ್ಷ ಸೇರಿಸಲಾದ ರಕ್ಷಣೆಗಳ ಹೊರತಾಗಿಯೂ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ. ಹೊಸ ವಿಧಾನವು ಸಾಮಾನ್ಯವಾಗಿ ಕಳೆದ ವರ್ಷದ ದುರ್ಬಲತೆಗೆ ಹೋಲುತ್ತದೆ ಮತ್ತು ಸಕ್ರಿಯ UDP ಪೋರ್ಟ್‌ಗಳನ್ನು ಪರಿಶೀಲಿಸಲು ವಿಭಿನ್ನ ರೀತಿಯ ICMP ಪ್ಯಾಕೆಟ್‌ಗಳ ಬಳಕೆಯಲ್ಲಿ ಮಾತ್ರ ಭಿನ್ನವಾಗಿರುತ್ತದೆ. ಪ್ರಸ್ತಾವಿತ ದಾಳಿಯು DNS ಸರ್ವರ್ ಕ್ಯಾಶ್‌ಗೆ ಕಾಲ್ಪನಿಕ ಡೇಟಾವನ್ನು ಬದಲಿಸಲು ಅನುಮತಿಸುತ್ತದೆ, ಇದನ್ನು ಸಂಗ್ರಹದಲ್ಲಿರುವ ಅನಿಯಂತ್ರಿತ ಡೊಮೇನ್‌ನ IP ವಿಳಾಸವನ್ನು ಬದಲಿಸಲು ಮತ್ತು ಡೊಮೇನ್‌ಗೆ ವಿನಂತಿಗಳನ್ನು ಆಕ್ರಮಣಕಾರರ ಸರ್ವರ್‌ಗೆ ಮರುನಿರ್ದೇಶಿಸಲು ಬಳಸಬಹುದು.
ಪ್ರಸ್ತಾವಿತ ವಿಧಾನವು ಲಿನಕ್ಸ್‌ನಲ್ಲಿನ ಐಸಿಎಂಪಿ ಪ್ಯಾಕೆಟ್ ಸಂಸ್ಕರಣಾ ಕಾರ್ಯವಿಧಾನದ ವಿಶಿಷ್ಟತೆಗಳಿಗೆ ಅದರ ಸಂಪರ್ಕದಿಂದಾಗಿ ಲಿನಕ್ಸ್ ನೆಟ್ವರ್ಕ್ ಸ್ಟಾಕ್‌ನಲ್ಲಿ ಮಾತ್ರ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ, ಇದು ಡೇಟಾ ಸೋರಿಕೆಯ ಮೂಲವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ, ಇದು ಕಳುಹಿಸಲು ಸರ್ವರ್ ಬಳಸುವ ಯುಡಿಪಿ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಯ ನಿರ್ಣಯವನ್ನು ಸರಳಗೊಳಿಸುತ್ತದೆ. ಬಾಹ್ಯ ವಿನಂತಿ. ಮಾಹಿತಿ ಸೋರಿಕೆಯನ್ನು ತಡೆಯುವ ಬದಲಾವಣೆಗಳನ್ನು ಆಗಸ್ಟ್ ಅಂತ್ಯದಲ್ಲಿ Linux ಕರ್ನಲ್‌ಗೆ ಅಳವಡಿಸಲಾಯಿತು (ಫಿಕ್ಸ್ ಅನ್ನು ಕರ್ನಲ್ 5.15 ಮತ್ತು ಸೆಪ್ಟೆಂಬರ್ ನವೀಕರಣಗಳಲ್ಲಿ ಕರ್ನಲ್‌ನ LTS ಶಾಖೆಗಳಿಗೆ ಸೇರಿಸಲಾಗಿದೆ). ಜೆಂಕಿನ್ಸ್ ಹ್ಯಾಶ್ ಬದಲಿಗೆ ನೆಟ್ವರ್ಕ್ ಕ್ಯಾಶ್‌ಗಳಲ್ಲಿ ಸಿಪ್‌ಹ್ಯಾಶ್ ಹ್ಯಾಶಿಂಗ್ ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಬಳಸುವುದನ್ನು ಸರಿಪಡಿಸಲು ಕುದಿಯುತ್ತದೆ. ವಿತರಣೆಗಳಲ್ಲಿನ ದುರ್ಬಲತೆಯನ್ನು ಸರಿಪಡಿಸುವ ಸ್ಥಿತಿಯನ್ನು ಈ ಪುಟಗಳಲ್ಲಿ ನಿರ್ಣಯಿಸಬಹುದು: Debian, RHEL, Fedora, SUSE, Ubuntu.
ಸಮಸ್ಯೆಯನ್ನು ಗುರುತಿಸಿದ ಸಂಶೋಧಕರ ಪ್ರಕಾರ, OpenDNS ಮತ್ತು Quad38 (9) ನಂತಹ ಜನಪ್ರಿಯ DNS ಸೇವೆಗಳನ್ನು ಒಳಗೊಂಡಂತೆ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಸುಮಾರು 9.9.9.9% ತೆರೆದ ಪರಿಹಾರಕಾರರು ದುರ್ಬಲರಾಗಿದ್ದಾರೆ. ಸರ್ವರ್ ಸಾಫ್ಟ್‌ವೇರ್‌ಗೆ ಸಂಬಂಧಿಸಿದಂತೆ, ಲಿನಕ್ಸ್ ಸರ್ವರ್‌ನಲ್ಲಿ BIND, ಅನ್‌ಬೌಂಡ್ ಮತ್ತು dnsmasq ನಂತಹ ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ಬಳಸಿಕೊಂಡು ದಾಳಿಯನ್ನು ನಡೆಸಬಹುದು. ವಿಂಡೋಸ್ ಮತ್ತು ಬಿಎಸ್‌ಡಿ ಸಿಸ್ಟಮ್‌ಗಳಲ್ಲಿ ಚಾಲನೆಯಲ್ಲಿರುವ ಡಿಎನ್‌ಎಸ್ ಸರ್ವರ್‌ಗಳಲ್ಲಿ ಸಮಸ್ಯೆ ಕಾಣಿಸುವುದಿಲ್ಲ. ದಾಳಿಯನ್ನು ಯಶಸ್ವಿಯಾಗಿ ನಡೆಸಲು, ಐಪಿ ಸ್ಪೂಫಿಂಗ್ ಅನ್ನು ಬಳಸುವುದು ಅವಶ್ಯಕ, ಅಂದರೆ. ದಾಳಿಕೋರನ ISPಯು ನಕಲಿ ಮೂಲ IP ವಿಳಾಸದೊಂದಿಗೆ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ನಿರ್ಬಂಧಿಸದಿರುವುದು ಅಗತ್ಯವಿದೆ.
ಜ್ಞಾಪನೆಯಾಗಿ, 2008 ರಲ್ಲಿ ಡಾನ್ ಕಾಮಿನ್ಸ್ಕಿ ಪ್ರಸ್ತಾಪಿಸಿದ ಕ್ಲಾಸಿಕ್ DNS ಸಂಗ್ರಹ ವಿಷಕಾರಿ ವಿಧಾನವನ್ನು ನಿರ್ಬಂಧಿಸಲು DNS ಸರ್ವರ್‌ಗಳಿಗೆ ಸೇರಿಸಲಾದ ರಕ್ಷಣೆಗಳನ್ನು SAD DNS ದಾಳಿ ಬೈಪಾಸ್ ಮಾಡುತ್ತದೆ. ಕಾಮಿನ್ಸ್ಕಿಯ ವಿಧಾನವು DNS ಪ್ರಶ್ನೆ ID ಕ್ಷೇತ್ರದ ಚಿಕ್ಕ ಗಾತ್ರವನ್ನು ಕುಶಲತೆಯಿಂದ ನಿರ್ವಹಿಸುತ್ತದೆ, ಅದು ಕೇವಲ 16 ಬಿಟ್‌ಗಳು. ಹೋಸ್ಟ್ ಹೆಸರು ವಂಚನೆಗೆ ಅಗತ್ಯವಾದ ಸರಿಯಾದ DNS ವಹಿವಾಟು ಗುರುತಿಸುವಿಕೆಯನ್ನು ಆಯ್ಕೆ ಮಾಡಲು, ಸರಿಸುಮಾರು 7000 ವಿನಂತಿಗಳನ್ನು ಕಳುಹಿಸಲು ಮತ್ತು ಸುಮಾರು 140 ಸಾವಿರ ಕಾಲ್ಪನಿಕ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಅನುಕರಿಸಲು ಸಾಕು. ಕಾಲ್ಪನಿಕ IP ಬೈಂಡಿಂಗ್‌ನೊಂದಿಗೆ ಮತ್ತು DNS ಪರಿಹಾರಕಕ್ಕೆ ವಿಭಿನ್ನ DNS ವಹಿವಾಟು ಗುರುತಿಸುವಿಕೆಗಳೊಂದಿಗೆ ಹೆಚ್ಚಿನ ಸಂಖ್ಯೆಯ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಕಳುಹಿಸಲು ದಾಳಿಯು ಕುದಿಯುತ್ತದೆ. ಮೊದಲ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳುವುದನ್ನು ತಡೆಯಲು, ಪ್ರತಿ ನಕಲಿ ಪ್ರತಿಕ್ರಿಯೆಯು ಸ್ವಲ್ಪ ಮಾರ್ಪಡಿಸಿದ ಡೊಮೇನ್ ಹೆಸರನ್ನು ಹೊಂದಿರುತ್ತದೆ (1.example.com, 2.example.com, 3.example.com, ಇತ್ಯಾದಿ.).
ಈ ರೀತಿಯ ದಾಳಿಯಿಂದ ರಕ್ಷಿಸಲು, DNS ಸರ್ವರ್ ತಯಾರಕರು ರೆಸಲ್ಯೂಶನ್ ವಿನಂತಿಗಳನ್ನು ಕಳುಹಿಸುವ ಮೂಲ ನೆಟ್ವರ್ಕ್ ಪೋರ್ಟ್‌ಗಳ ಸಂಖ್ಯೆಗಳ ಯಾದೃಚ್ಛಿಕ ವಿತರಣೆಯನ್ನು ಜಾರಿಗೆ ತಂದರು, ಇದು ಗುರುತಿಸುವಿಕೆಯ ಸಾಕಷ್ಟು ದೊಡ್ಡ ಗಾತ್ರವನ್ನು ಸರಿದೂಗಿಸುತ್ತದೆ. ಕಾಲ್ಪನಿಕ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಕಳುಹಿಸಲು ರಕ್ಷಣೆಯನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಿದ ನಂತರ, 16-ಬಿಟ್ ಐಡೆಂಟಿಫೈಯರ್ ಅನ್ನು ಆಯ್ಕೆಮಾಡುವುದರ ಜೊತೆಗೆ, 64 ಸಾವಿರ ಪೋರ್ಟ್‌ಗಳಲ್ಲಿ ಒಂದನ್ನು ಆಯ್ಕೆಮಾಡುವುದು ಅಗತ್ಯವಾಯಿತು, ಇದು ಆಯ್ಕೆಯ ಆಯ್ಕೆಗಳ ಸಂಖ್ಯೆಯನ್ನು 2^32 ಗೆ ಹೆಚ್ಚಿಸಿತು.
SAD DNS ವಿಧಾನವು ನೆಟ್ವರ್ಕ್ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಯ ನಿರ್ಣಯವನ್ನು ಆಮೂಲಾಗ್ರವಾಗಿ ಸರಳೀಕರಿಸಲು ಮತ್ತು ಕ್ಲಾಸಿಕ್ ಕಾಮಿನ್ಸ್ಕಿ ವಿಧಾನಕ್ಕೆ ದಾಳಿಯನ್ನು ಕಡಿಮೆ ಮಾಡಲು ನಿಮಗೆ ಅನುಮತಿಸುತ್ತದೆ. ICMP ಪ್ರತಿಕ್ರಿಯೆ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ ನೆಟ್ವರ್ಕ್ ಪೋರ್ಟ್‌ಗಳ ಚಟುವಟಿಕೆಯ ಕುರಿತು ಸೋರಿಕೆಯಾದ ಮಾಹಿತಿಯ ಲಾಭವನ್ನು ಪಡೆಯುವ ಮೂಲಕ ಆಕ್ರಮಣಕಾರರು ಬಳಕೆಯಾಗದ ಮತ್ತು ಸಕ್ರಿಯ UDP ಪೋರ್ಟ್‌ಗಳಿಗೆ ಪ್ರವೇಶವನ್ನು ಕಂಡುಹಿಡಿಯಬಹುದು. 4^2 ಬದಲಿಗೆ 16^2+16^2 (32_131_072_4 ಬದಲಿಗೆ 294_967) - 296 ಆದೇಶಗಳ ಮೂಲಕ ಹುಡುಕಾಟ ಆಯ್ಕೆಗಳ ಸಂಖ್ಯೆಯನ್ನು ಕಡಿಮೆ ಮಾಡಲು ವಿಧಾನವು ನಮಗೆ ಅನುಮತಿಸುತ್ತದೆ. ಸಕ್ರಿಯ ಯುಡಿಪಿ ಪೋರ್ಟ್‌ಗಳನ್ನು ತ್ವರಿತವಾಗಿ ನಿರ್ಧರಿಸಲು ನಿಮಗೆ ಅನುಮತಿಸುವ ಮಾಹಿತಿಯ ಸೋರಿಕೆಯು ಐಸಿಎಂಪಿ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ವಿಘಟನೆಯ ವಿನಂತಿಗಳೊಂದಿಗೆ (ಐಸಿಎಂಪಿ ಫ್ರಾಗ್ಮೆಂಟೇಶನ್ ಅಗತ್ಯವಿದೆ ಫ್ಲ್ಯಾಗ್) ಅಥವಾ ಮರುನಿರ್ದೇಶನ (ಐಸಿಎಂಪಿ ಮರುನಿರ್ದೇಶನ ಫ್ಲ್ಯಾಗ್) ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವ ಕೋಡ್‌ನಲ್ಲಿನ ದೋಷದಿಂದ ಉಂಟಾಗುತ್ತದೆ. ಅಂತಹ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಕಳುಹಿಸುವುದರಿಂದ ನೆಟ್ವರ್ಕ್ ಸ್ಟಾಕ್‌ನಲ್ಲಿನ ಸಂಗ್ರಹದ ಸ್ಥಿತಿಯನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ, ಇದು ಸರ್ವರ್‌ನ ಪ್ರತಿಕ್ರಿಯೆಯ ಆಧಾರದ ಮೇಲೆ ನಿರ್ಧರಿಸಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ, ಯಾವ UDP ಪೋರ್ಟ್ ಸಕ್ರಿಯವಾಗಿದೆ ಮತ್ತು ಯಾವುದು ಅಲ್ಲ.
ದಾಳಿಯ ಸನ್ನಿವೇಶ: DNS ಪರಿಹಾರಕವು ಡೊಮೇನ್ ಹೆಸರನ್ನು ಪರಿಹರಿಸಲು ಪ್ರಯತ್ನಿಸಿದಾಗ, ಅದು ಡೊಮೇನ್‌ಗೆ ಸೇವೆ ಸಲ್ಲಿಸುತ್ತಿರುವ DNS ಸರ್ವರ್‌ಗೆ UDP ಪ್ರಶ್ನೆಯನ್ನು ಕಳುಹಿಸುತ್ತದೆ. ಪರಿಹಾರಕಾರರು ಪ್ರತಿಕ್ರಿಯೆಗಾಗಿ ಕಾಯುತ್ತಿರುವಾಗ, ಆಕ್ರಮಣಕಾರರು ವಿನಂತಿಯನ್ನು ಕಳುಹಿಸಲು ಬಳಸಿದ ಮೂಲ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಯನ್ನು ತ್ವರಿತವಾಗಿ ನಿರ್ಧರಿಸಬಹುದು ಮತ್ತು ಅದಕ್ಕೆ ನಕಲಿ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಕಳುಹಿಸಬಹುದು, IP ವಿಳಾಸವನ್ನು ವಂಚಿಸುವ ಮೂಲಕ ಡೊಮೇನ್‌ಗೆ ಸೇವೆ ಸಲ್ಲಿಸುವ DNS ಸರ್ವರ್ ಅನ್ನು ಅನುಕರಿಸುತ್ತಾರೆ. DNS ಪರಿಹಾರಕವು ನಕಲಿ ಪ್ರತಿಕ್ರಿಯೆಯಲ್ಲಿ ಕಳುಹಿಸಿದ ಡೇಟಾವನ್ನು ಸಂಗ್ರಹಿಸುತ್ತದೆ ಮತ್ತು ಡೊಮೇನ್ ಹೆಸರಿಗಾಗಿ ಎಲ್ಲಾ ಇತರ DNS ವಿನಂತಿಗಳಿಗಾಗಿ ಆಕ್ರಮಣಕಾರರಿಂದ ಬದಲಿಯಾಗಿ IP ವಿಳಾಸವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ.
ಮೂಲ: opennet.ru