In verschillende implementaties van het DNSSEC-protocol zijn er twee kwetsbaarheden vastgesteld die DNS-resolvers zoals BIND, PowerDNS, dnsmasq, Knot Resolver en Unbound treffen. Deze kwetsbaarheden kunnen leiden tot een denial-of-service voor DNS-resolvers die validatie uitvoeren met behulp van DNSSEC, door hoge CPU-belasting te veroorzaken die de verwerking van andere verzoeken belemmert. Voor het uitvoeren van een aanval is het voldoende om een verzoek te sturen naar een DNS-resolver die DNSSEC gebruikt, dat leidt tot een verwijzing naar een speciaal opgestelde DNS-zone op de server van de aanvaller.
Geconstateerde problemen:
- CVE-2023-50387 (codenaam KeyTrap) ā bij het verwijzen naar speciaal opgestelde DNS-zones leidt dit tot denial-of-service door een aanzienlijke belasting van de CPU en langdurige uitvoering van DNSSEC-validatie. Voor het uitvoeren van de aanval is het noodzakelijk om op een door de aanvaller gecontroleerde DNS-server een domeinzones met kwaadaardige instellingen te creĆ«ren, en ervoor te zorgen dat de recursieve DNS-server verzoeken naar deze zone stuurt, wat de aanvaller hoopt te bereiken met de denial-of-service.
Kwaadaardige instellingen komen neer op het gebruik van een combinatie van conflicterende sleutels, RRSET-records en digitale handtekeningen voor de zone. Een poging om te valideren met behulp van deze sleutels leidt tot langdurige, resource-intensieve operaties die de CPU volledig kunnen belasten en de verwerking van andere verzoeken blokkeren (bijvoorbeeld wordt beweerd dat de verwerking van andere verzoeken bij een aanval op BIND tot 16 uur is stopgezet).
- CVE-2023-50868 (codenaam NSEC3) ā denial-of-service door aanzienlijke berekeningen tijdens het hash-berekenen in NSEC3-records (Next Secure v3) bij de verwerking van speciaal opgestelde DNSSEC-antwoorden. De aanvalsmethode lijkt op de eerste kwetsbaarheid, met dit verschil dat er op de DNS-server van de aanvaller een speciaal opgestelde set NSEC3 RRSET-records wordt ingericht.
Het wordt opgemerkt dat het verschijnen van de bovengenoemde kwetsbaarheden voortkomt uit de definitie in de DNSSEC-specificatie van de mogelijkheid voor DNS-servers om alle beschikbare cryptografische sleutels te versturen, terwijl resolvers alle ontvangen sleutels moeten verwerken totdat de validatie succesvol is of alle ontvangen sleutels zijn gecontroleerd.
Als maatregel om kwetsbaarheden in resolvers te blokkeren, is het maximale aantal DNSSEC-sleutels dat wordt gebruikt bij het opbouwen van de vertrouwensketen beperkt, evenals het maximale aantal hash-berekeningen voor NSEC3. Daarnaast zijn de herhaalkansen voor elke RRSET (combinaties van sleutels en handtekeningen) en elk antwoord gelimiteerd. de server.
Kwetsbaarheden zijn verholpen in updates van Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) en BIND (9.16.48, 9.18.24 en 9.19.21). De status van kwetsbaarheden in distributies kan worden beoordeeld op de volgende pagina's: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.
In de versies van de DNS-server BIND 9.16.48, 9.18.24 en 9.19.21 zijn nog enkele andere kwetsbaarheden verholpen:
- CVE-2023-4408 ā het parseren van grote DNS-berichten kan leiden tot een hoge CPU-belasting.
- CVE-2023-5517 ā een verzoek om een speciaal opgemaakte omgekeerde zone kan leiden tot een crash door het activeren van een assert-controle. Dit probleem doet zich alleen voor in configuraties met de instelling "nxdomain-redirect" ingeschakeld.
- CVE-2023-5679 ā recursieve hostbepaling kan leiden tot een crash door het activeren van een assert-controle op systemen met ingeschakelde DNS64-ondersteuning en "serve-stale" (instellingen, stale-cache-enable en stale-answer-enable).
- CVE-2023-6516 ā speciaal opgemaakte recursieve verzoeken kunnen leiden tot een uitputting van het beschikbare geheugen van het proces.
Bron: opennet.ru
