ຊ່ອງໂຫວ່ KeyTrap ແລະ NSEC3 ມີຜົນກະທົບຕໍ່ການປະຕິບັດ DNSSEC ສ່ວນໃຫຍ່

ສອງຊ່ອງໂຫວ່ໄດ້ຖືກລະບຸໄວ້ໃນການປະຕິບັດຕ່າງໆຂອງໂປໂຕຄອນ DNSSEC, ຜົນກະທົບຕໍ່ BIND, PowerDNS, dnsmasq, Knot Resolver, ແລະ Unbound DNS solvers. ຊ່ອງໂຫວ່ສາມາດເຮັດໃຫ້ເກີດການປະຕິເສດການບໍລິການສໍາລັບຕົວແກ້ໄຂ DNS ທີ່ດໍາເນີນການກວດສອບ DNSSEC ໂດຍການເຮັດໃຫ້ການໂຫຼດ CPU ສູງທີ່ຂັດຂວາງການປະມວນຜົນການສອບຖາມອື່ນໆ. ເພື່ອປະຕິບັດການໂຈມຕີ, ມັນພຽງພໍທີ່ຈະສົ່ງຄໍາຮ້ອງຂໍໄປຫາຕົວແກ້ໄຂ DNS ໂດຍໃຊ້ DNSSEC, ເຊິ່ງນໍາໄປສູ່ການໂທຫາເຂດ DNS ທີ່ຖືກອອກແບບພິເສດໃນເຄື່ອງແມ່ຂ່າຍຂອງຜູ້ໂຈມຕີ.

ບັນຫາທີ່ລະບຸ:

• CVE-2023-50387 (ຊື່ລະຫັດ KeyTrap) - ເມື່ອເຂົ້າເຖິງເຂດ DNS ທີ່ຖືກອອກແບບພິເສດ, ມັນນໍາໄປສູ່ການປະຕິເສດການບໍລິການເນື່ອງຈາກການໂຫຼດ CPU ທີ່ສໍາຄັນແລະການປະຕິບັດການກວດສອບ DNSSEC ທີ່ຍາວນານ. ເພື່ອປະຕິບັດການໂຈມຕີ, ມັນຈໍາເປັນຕ້ອງວາງເຂດໂດເມນທີ່ມີການຕັ້ງຄ່າທີ່ເປັນອັນຕະລາຍຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ຖືກຄວບຄຸມໂດຍຜູ້ໂຈມຕີ, ແລະຍັງເພື່ອຮັບປະກັນວ່າເຂດນີ້ຖືກເຂົ້າເຖິງໂດຍເຄື່ອງແມ່ຂ່າຍ DNS ແບບ recursive, ການປະຕິເສດການບໍລິການທີ່ຜູ້ໂຈມຕີຊອກຫາ. .

  ການ​ຕັ້ງ​ຄ່າ​ທີ່​ເປັນ​ອັນ​ຕະ​ລາຍ​ກ່ຽວ​ຂ້ອງ​ກັບ​ການ​ນໍາ​ໃຊ້​ການ​ປະ​ສົມ​ຂອງ​ກະ​ແຈ​ທີ່​ຂັດ​ແຍ່ງ​ກັນ​, ການ​ບັນ​ທຶກ RRSET ແລະ​ລາຍ​ເຊັນ​ດິ​ຈິ​ຕອນ​ສໍາ​ລັບ​ເຂດ​. ຄວາມພະຍາຍາມເພື່ອກວດສອບການນໍາໃຊ້ກະແຈເຫຼົ່ານີ້ເຮັດໃຫ້ໃຊ້ເວລາທີ່ໃຊ້ເວລາ, ການດໍາເນີນງານຫຼາຍຊັບພະຍາກອນທີ່ສາມາດໂຫຼດ CPU ຢ່າງສົມບູນແລະສະກັດການປະມວນຜົນຂອງຄໍາຮ້ອງຂໍອື່ນໆ (ຕົວຢ່າງ, ມັນໄດ້ຖືກອ້າງວ່າໃນການໂຈມຕີກ່ຽວກັບ BIND ມັນເປັນໄປໄດ້ທີ່ຈະຢຸດເຊົາການປະມວນຜົນຂອງ. ການຮ້ອງຂໍອື່ນໆສໍາລັບ 16 ຊົ່ວໂມງ).
• CVE-2023-50868 (ຊື່ລະຫັດ NSEC3) ແມ່ນການປະຕິເສດການບໍລິການເນື່ອງຈາກການຄິດໄລ່ທີ່ສໍາຄັນຖືກປະຕິບັດໃນເວລາທີ່ການຄິດໄລ່ hashes ໃນບັນທຶກ NSEC3 (Next Secure v3) ເມື່ອປະມວນຜົນການຕອບສະຫນອງ DNSSEC ພິເສດ. ວິທີການໂຈມຕີແມ່ນຄ້າຍຄືກັນກັບຊ່ອງໂຫວ່ທໍາອິດ, ຍົກເວັ້ນວ່າຊຸດບັນທຶກ NSEC3 RRSET ທີ່ຖືກອອກແບບພິເສດແມ່ນຖືກສ້າງຂຶ້ນໃນເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໂຈມຕີ.

ມັນສັງເກດເຫັນວ່າຮູບລັກສະນະຂອງຊ່ອງໂຫວ່ທີ່ກ່າວມາຂ້າງເທິງນີ້ແມ່ນເກີດມາຈາກຄໍານິຍາມໃນຂໍ້ກໍານົດ DNSSEC ຂອງຄວາມສາມາດຂອງເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ຈະສົ່ງລະຫັດເຂົ້າລະຫັດທີ່ມີຢູ່ທັງຫມົດ, ໃນຂະນະທີ່ຜູ້ແກ້ໄຂຕ້ອງດໍາເນີນການລະຫັດທີ່ໄດ້ຮັບຈົນກ່ວາການກວດສອບສໍາເລັດຫຼືທັງຫມົດ. ກະແຈທີ່ໄດ້ຮັບໄດ້ຖືກກວດສອບແລ້ວ.

ໃນຖານະເປັນມາດຕະການເພື່ອສະກັດກັ້ນຊ່ອງໂຫວ່ໃນຕົວແກ້ໄຂ, ຈຳນວນສູງສຸດຂອງຄີ DNSSEC ທີ່ກ່ຽວຂ້ອງກັບຂະບວນການສ້າງລະບົບຕ່ອງໂສ້ຄວາມໄວ້ວາງໃຈ ແລະ ຈຳນວນສູງສຸດຂອງການຄິດໄລ່ແຮຊສຳລັບ NSEC3 ແມ່ນມີຈຳກັດ, ແລະ ການລອງກວດສອບຄືນໃໝ່ສຳລັບແຕ່ລະ RRSET (ການລວມກັນຂອງຄີ ແລະ ລາຍເຊັນ) ແລະ ແຕ່ລະການຕອບສະໜອງແມ່ນມີຈຳກັດ. ເຄື່ອງແມ່ຂ່າຍ.

Уязвимости устранены в обновлениях Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) и BIND (9.16.48, 9.18.24 и 9.19.21). Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.

BIND DNS server ເວີຊັ່ນ 9.16.48, 9.18.24 ແລະ 9.19.21 ຍັງໄດ້ແກ້ໄຂຊ່ອງໂຫວ່ຫຼາຍອັນເພີ່ມເຕີມ:

• CVE-2023-4408 ການແຍກຂໍ້ຄວາມ DNS ຂະໜາດໃຫຍ່ສາມາດເຮັດໃຫ້ເກີດການໂຫຼດ CPU ສູງ.
• CVE-2023-5517 - ການຮ້ອງຂໍໃຫ້ມີເຂດຖອຍຫຼັງທີ່ສ້າງຂຶ້ນແບບພິເສດສາມາດເຮັດໃຫ້ເກີດອຸປະຕິເຫດໄດ້ເນື່ອງຈາກການກວດສອບຢືນຢັນຖືກກະຕຸ້ນ. ບັນຫາພຽງແຕ່ປາກົດຢູ່ໃນການຕັ້ງຄ່າທີ່ມີການຕັ້ງຄ່າ "nxdomain-redirect" ຖືກເປີດໃຊ້.
• CVE-2023-5679 - ການກວດຫາໂຮດແບບຊ້ຳໆສາມາດເຮັດໃຫ້ເກີດການຂັດຂ້ອງໄດ້ເນື່ອງຈາກການກວດສອບຢືນຢັນຖືກກະຕຸ້ນຢູ່ໃນລະບົບທີ່ມີການສະຫນັບສະຫນູນ DNS64 ແລະເປີດໃຊ້ "serve-stale" (ການຕັ້ງຄ່າ, stale-cache-enable ແລະ stale-answer-enable).
• CVE-2023-6516 ການສອບຖາມ recursive crafted ພິເສດອາດຈະເຮັດໃຫ້ຂະບວນການເຮັດໃຫ້ຫນ່ວຍຄວາມຈໍາທີ່ມີໃຫ້ເຂົາເຈົ້າຫມົດໄປ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru