മിക്ക DNSSEC നടപ്പിലാക്കലുകളെ ബാധിക്കുന്ന കീട്രാപ്പും NSEC3 കേടുപാടുകളും

BIND, PowerDNS, dnsmasq, Knot Resolver, Unbound DNS റിസോൾവറുകൾ എന്നിവയെ ബാധിക്കുന്ന DNSSEC പ്രോട്ടോക്കോളിൻ്റെ വിവിധ നിർവ്വഹണങ്ങളിൽ രണ്ട് കേടുപാടുകൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്. മറ്റ് ചോദ്യങ്ങളുടെ പ്രോസസ്സിംഗിനെ തടസ്സപ്പെടുത്തുന്ന ഉയർന്ന സിപിയു ലോഡിന് കാരണമാകുന്നതിലൂടെ ഡിഎൻഎസ്എസ്ഇസി മൂല്യനിർണ്ണയം നടത്തുന്ന ഡിഎൻഎസ് റിസോൾവറുകൾക്കുള്ള സേവനം നിരസിക്കാൻ കേടുപാടുകൾ കാരണമായേക്കാം. ഒരു ആക്രമണം നടത്താൻ, DNSSEC ഉപയോഗിച്ച് ഒരു DNS റിസോൾവറിലേക്ക് ഒരു അഭ്യർത്ഥന അയച്ചാൽ മതിയാകും, ഇത് ആക്രമണകാരിയുടെ സെർവറിൽ പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത DNS സോണിലേക്ക് ഒരു കോളിലേക്ക് നയിക്കുന്നു.

തിരിച്ചറിഞ്ഞ പ്രശ്നങ്ങൾ:

• CVE-2023-50387 (കോഡ്‌നാമം കീട്രാപ്പ്) - പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത DNS സോണുകൾ ആക്‌സസ് ചെയ്യുമ്പോൾ, ഗണ്യമായ CPU ലോഡും DNSSEC ചെക്കുകളുടെ നീണ്ട നിർവ്വഹണവും കാരണം ഇത് സേവനം നിഷേധിക്കുന്നതിലേക്ക് നയിക്കുന്നു. ഒരു ആക്രമണം നടത്തുന്നതിന്, ആക്രമണകാരി നിയന്ത്രിക്കുന്ന ഒരു DNS സെർവറിൽ ക്ഷുദ്രകരമായ ക്രമീകരണങ്ങളുള്ള ഒരു ഡൊമെയ്ൻ സോൺ സ്ഥാപിക്കേണ്ടത് ആവശ്യമാണ്, കൂടാതെ ആക്രമണകാരി ആവശ്യപ്പെടുന്ന സേവന നിഷേധമായ ഒരു ആവർത്തന DNS സെർവറാണ് ഈ സോൺ ആക്സസ് ചെയ്യുന്നതെന്ന് ഉറപ്പാക്കുകയും വേണം. .

  ഒരു സോണിനായി വൈരുദ്ധ്യമുള്ള കീകൾ, RRSET റെക്കോർഡുകൾ, ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ എന്നിവയുടെ സംയോജനം ഉപയോഗിക്കുന്നത് ക്ഷുദ്രകരമായ ക്രമീകരണങ്ങളിൽ ഉൾപ്പെടുന്നു. ഈ കീകൾ ഉപയോഗിച്ച് സ്ഥിരീകരിക്കാൻ ശ്രമിക്കുന്നത്, സമയമെടുക്കുന്ന, വിഭവ-തീവ്രമായ പ്രവർത്തനങ്ങളിൽ കലാശിക്കുന്നു, അത് CPU പൂർണ്ണമായി ലോഡുചെയ്യാനും മറ്റ് അഭ്യർത്ഥനകളുടെ പ്രോസസ്സിംഗ് തടയാനും കഴിയും (ഉദാഹരണത്തിന്, BIND-ലെ ഒരു ആക്രമണത്തിൽ ഇതിൻ്റെ പ്രോസസ്സിംഗ് നിർത്താൻ സാധിച്ചുവെന്ന് അവകാശപ്പെടുന്നു. 16 മണിക്കൂറിനുള്ള മറ്റ് അഭ്യർത്ഥനകൾ).
• പ്രത്യേകമായി തയ്യാറാക്കിയ DNSSEC പ്രതികരണങ്ങൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ NSEC2023 (Next Secure v50868) റെക്കോഡുകളിലെ ഹാഷുകൾ കണക്കാക്കുമ്പോൾ കാര്യമായ കണക്കുകൂട്ടൽ നടക്കുന്നതിനാൽ ഒരു സേവന നിഷേധമാണ് CVE-3-3 (NSEC3). ആക്രമണ രീതി ആദ്യ അപകടസാധ്യതയ്ക്ക് സമാനമാണ്, ആക്രമണകാരിയുടെ DNS സെർവറിൽ പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത NSEC3 RRSET റെക്കോർഡുകൾ സൃഷ്‌ടിച്ചതല്ലാതെ.

ലഭ്യമായ എല്ലാ ക്രിപ്‌റ്റോഗ്രാഫിക് കീകളും അയയ്‌ക്കാനുള്ള DNS സെർവറിനുള്ള കഴിവിൻ്റെ DNSSEC സ്പെസിഫിക്കേഷനിലെ നിർവ്വചനം മൂലമാണ് മുകളിൽ സൂചിപ്പിച്ച കേടുപാടുകൾ ഉണ്ടാകുന്നത് എന്നത് ശ്രദ്ധിക്കപ്പെടുന്നു, അതേസമയം പരിശോധന വിജയകരമായി പൂർത്തിയാകുന്നതുവരെ അല്ലെങ്കിൽ എല്ലാം റിസോൾവർമാർ സ്വീകരിച്ച കീകൾ പ്രോസസ്സ് ചെയ്യണം. ലഭിച്ച കീകൾ പരിശോധിച്ചു.

റിസോൾവറുകളിലെ ദുർബലതകൾ തടയുന്നതിനുള്ള നടപടികൾ എന്ന നിലയിൽ, ഒരു ട്രസ്റ്റ് ശൃംഖല നിർമ്മിക്കുന്ന പ്രക്രിയയിൽ ഉൾപ്പെട്ടിരിക്കുന്ന പരമാവധി എണ്ണം DNSSEC കീകളും NSEC3-നുള്ള പരമാവധി ഹാഷ് കണക്കുകൂട്ടലുകളും പരിമിതമാണ്, കൂടാതെ ഓരോ RRSET-നും (കീകളുടെയും ഒപ്പുകളുടെയും സംയോജനം) ഓരോ പ്രതികരണത്തിനും വേണ്ടിയുള്ള സ്ഥിരീകരണത്തിന്റെ പുനഃശ്രമങ്ങൾ പരിമിതമാണ്. സെർവർ.

അൺബൗണ്ട് (1.19.1), പവർഡിഎൻഎസ് റീകർസർ (4.8.6, 4.9.3, 5.0.2), നോട്ട് റിസോൾവർ (5.7.1), ഡിഎൻഎസ്മാസ്ക് (2.90), ബിൻഡ് (9.16.48, 9.18.24, 9.19.21) എന്നിവയിലേക്കുള്ള അപ്‌ഡേറ്റുകളിൽ ദുർബലതകൾ പരിഹരിച്ചു. ഈ വിതരണങ്ങളിലെ ദുർബലത പരിഹാരങ്ങളുടെ നില ഈ പേജുകളിൽ വിലയിരുത്താൻ കഴിയും: Debian, Ubuntu, SUSE, RHEL, ഫെഡോറ, ആർച്ച് Linux, ജെന്റൂ, സ്ലാക്ക്വെയർ, നെറ്റ്ബിഎസ്ഡി, ഫ്രീബിഎസ്ഡി.

BIND DNS സെർവർ പതിപ്പുകൾ 9.16.48, 9.18.24, 9.19.21 എന്നിവ കൂടാതെ നിരവധി കേടുപാടുകൾ പരിഹരിച്ചു:

• CVE-2023-4408 വലിയ DNS സന്ദേശങ്ങൾ പാഴ്‌സ് ചെയ്യുന്നത് ഉയർന്ന CPU ലോഡിന് കാരണമാകും.
• CVE-2023-5517 - പ്രത്യേകമായി തയ്യാറാക്കിയ റിവേഴ്സ് സോണിനായുള്ള അഭ്യർത്ഥന ഒരു അസെർട്ട് ചെക്ക് ട്രിഗർ ചെയ്യപ്പെടുന്നതിനാൽ ഒരു ക്രാഷിലേക്ക് നയിച്ചേക്കാം. "nxdomain-redirect" ക്രമീകരണം പ്രവർത്തനക്ഷമമാക്കിയ കോൺഫിഗറേഷനുകളിൽ മാത്രമേ പ്രശ്നം ദൃശ്യമാകൂ.
• CVE-2023-5679 - DNS64 പിന്തുണയുള്ള സിസ്റ്റങ്ങളിൽ ഒരു അസെർട്ട് ചെക്ക് പ്രവർത്തനക്ഷമമായതിനാൽ ആവർത്തന ഹോസ്റ്റ് കണ്ടെത്തൽ ഒരു ക്രാഷിലേക്ക് നയിച്ചേക്കാം, കൂടാതെ "സേവ്-സ്റ്റേൽ" പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു (ക്രമീകരണങ്ങൾ, സ്റ്റേൽ-കാഷെ-പ്രാപ്തമാക്കുക, പഴകിയ ഉത്തരം-പ്രാപ്തമാക്കുക).
• CVE-2023-6516 പ്രത്യേകമായി തയ്യാറാക്കിയ ആവർത്തന അന്വേഷണങ്ങൾ അവർക്ക് ലഭ്യമായ മെമ്മറി ഇല്ലാതാക്കാൻ പ്രക്രിയയ്ക്ക് കാരണമായേക്കാം.

അവലംബം: opennet.ru