Ранливост во FreeBSD, IPnet и Nucleus NET поврзани со грешки во имплементацијата на DNS компресија

Истражувачките групи Forescout Research Labs и JSOF Research ги објавија резултатите од заедничката студија за безбедноста на различни имплементации на шемата за компресија што се користи за пакување дупликат имиња во DNS, mDNS, DHCP и IPv6 RA пораки (пакување дупликат делови од домен во пораките кои вклучуваат повеќе имиња). Во текот на работата беа идентификувани 9 пропусти, кои се сумирани под кодното име NAME:WRECK.

Идентификувани се проблеми во FreeBSD, како и во мрежните потсистеми IPnet, Nucleus NET и NetX, кои станаа широко распространети во оперативните системи VxWorks, Nucleus и ThreadX во реално време што се користат во уреди за автоматизација, складирање, медицински уреди, авионика, печатачи и потрошувачка електроника. Се проценува дека најмалку 100 милиони уреди се погодени од ранливостите.

• Ранливост во FreeBSD (CVE-2020-7461) овозможи да се организира извршувањето на неговиот код со испраќање специјално дизајниран DHCP пакет до напаѓачите лоцирани на истата локална мрежа како жртвата, чија обработка ја води ранлив клиент DHCP до прелевање на тампон. Проблемот беше ублажен со фактот што процесот на dhclient во кој беше присутна ранливоста работеше со привилегии за ресетирање во изолирана околина Capsicum, што бараше идентификување на друга ранливост за излез.

  Суштината на грешката е во неправилна проверка на параметрите, во пакетот вратен од серверот DHCP со DHCP опција 119, што ви овозможува да ја пренесете листата „пребарување домен“ на резолуторот. Неправилната пресметка на големината на баферот потребна за сместување на неотпакувани имиња на домени доведе до тоа информациите контролирани од напаѓачот да бидат напишани надвор од доделениот бафер. Во FreeBSD, проблемот беше поправен уште во септември минатата година. Проблемот може да се искористи само ако имате пристап до локалната мрежа.

• Ранливост во вградениот мрежен стек IPnet што се користи во RTOS VxWorks овозможува потенцијално извршување на код на страната на клиентот DNS поради неправилно ракување со компресија на DNS порака. Како што се испостави, оваа ранливост првпат беше идентификувана од Exodus уште во 2016 година, но никогаш не беше поправена. Новото барање до Wind River исто така остана неодговорено и уредите IPnet остануваат ранливи.
• Шест пропусти беа идентификувани во оџакот Nucleus NET TCP/IP, поддржан од Siemens, од кои две може да доведат до далечинско извршување на кодот, а четири може да доведат до одбивање на услугата. Првиот опасен проблем е поврзан со грешка при декомпресија на компресирани DNS пораки, а вториот е поврзан со неправилно парсирање на етикети со имиња на домени. Двата проблеми резултираат со прелевање на баферот при обработка на специјално форматирани DNS одговори.

  За да ги искористи пропустите, напаѓачот едноставно треба да испрати специјално дизајниран одговор на кое било легитимно барање испратено од ранлив уред, на пример, со спроведување на MTIM напад и мешање во сообраќајот помеѓу серверот DNS и жртвата. Ако напаѓачот има пристап до локалната мрежа, тогаш може да стартува DNS сервер кој се обидува да нападне проблематични уреди со испраќање mDNS барања во режим на емитување.

• Ранливоста во стекот на мрежата NetX (Azure RTOS NetX), развиена за ThreadX RTOS и отворена во 2019 година откако беше преземена од Microsoft, беше ограничена на одбивање на услугата. Проблемот е предизвикан од грешка при парсирање на компресирани DNS пораки во имплементацијата на резолуторот.

Од тестираните мрежни стекови во кои не беа пронајдени пропусти поврзани со компресија на повторени податоци во DNS пораките, беа именувани следниве проекти: lwIP, Nut/Net, Zephyr, uC/TCP-IP, uC/TCP-IP, FreeRTOS+TCP , OpenThread и FNET. Покрај тоа, првите две (Nut/Net и lwIP) воопшто не поддржуваат компресија во DNS пораките, додека другите ја спроведуваат оваа операција без грешки. Дополнително, се забележува дека претходно истите истражувачи веќе идентификувале слични пропусти во стековите Treck, uIP и PicoTCP.

Извор: opennet.ru