JSOF изилдөө лабораторияларынын адистери DNS/DHCP серверинин dnsmasq жети жаңы алсыздыгын билдиришти. dnsmasq сервери абдан популярдуу жана демейки боюнча көптөгөн Linux дистрибьютерлеринде, ошондой эле Cisco, Ubiquiti жана башкалардын тармактык жабдууларында колдонулат. Dnspooq алсыздыктары DNS кэш ууланууну, ошондой эле алыстан кодду аткарууну камтыйт. Кемчиликтер dnsmasq 2.83 менен оңдолду.
2008-жылы белгилүү коопсуздук изилдөөчүсү Дэн Каминский Интернеттин DNS механизминдеги фундаменталдуу мүчүлүштүктөрдү таап, ачыкка чыгарган. Каминский чабуулчулар домен даректерин бурмалап, маалыматтарды уурдай аларын далилдеди. Ошондон бери бул "Каминский чабуулу" деп аталып калган.
DNS ондогон жылдар бою кооптуу протокол деп эсептелип келген, бирок ал бүтүндүктүн белгилүү бир деңгээлине кепилдик бериши керек. Ушул себептен улам, ага дагы эле көп таянышат. Ошол эле учурда, баштапкы DNS протоколунун коопсуздугун жакшыртуу үчүн механизмдер иштелип чыккан. Бул механизмдер HTTPS, HSTS, DNSSEC жана башка демилгелерди камтыйт. Бирок, бардык бул механизмдер менен, DNS уурдоо дагы эле 2021-жылы коркунучтуу чабуул болуп саналат. Интернеттин көбү 2008-жылдагыдай эле DNSге таянат жана ошол эле чабуулдарга дуушар болот.
DNSpooq кэш уулануу кемчиликтери:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Бул алсыздыктар Калифорния университетинин жана Цинхуа университетинин изилдөөчүлөрү жакында билдирген SAD DNS чабуулдарына окшош. SAD DNS жана DNSpooq алсыздыктары чабуулдарды дагы жеңилдетүү үчүн бириктирилиши мүмкүн. ЖОЖдордун биргелешкен аракеттери менен (Poison Over Troubled Forwarders, ж.
Алсыздыктар энтропияны азайтуу аркылуу иштейт. DNS суроо-талаптарын аныктоо үчүн алсыз хэштин колдонулушунан жана суроо-талаптын жоопко так дал келбегендигинен улам, энтропия абдан азаят жана ~19 битти гана болжолдоо керек, бул кэш ууланууну мүмкүн кылат. dnsmasq CNAME жазууларын иштетүү жолу ага CNAME жазууларынын чынжырын бурмалоого жана бир эле учурда 9 DNS жазуусун натыйжалуу ууландырууга мүмкүндүк берет.
Буфердин ашыкча кемчиликтери: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Бардык 4 белгиленген кемчиликтер DNSSEC ишке ашырылган коддо бар жана орнотууларда DNSSEC аркылуу текшерүү иштетилгенде гана пайда болот.
Source: linux.org.ru