Specialisten van JSOF research labs hebben zeven nieuwe kwetsbaarheden in de DNS/DHCP-server dnsmasq gerapporteerd. De dnsmasq-server is zeer populair en wordt standaard gebruikt in veel Linux-distributies, evenals in netwerkhardware van Cisco, Ubiquiti en anderen. De kwetsbaarheden Dnspooq omvatten DNS-cache poisoning en remote code execution. Deze kwetsbaarheden zijn verholpen in dnsmasq 2.83.
In 2008 ontdekte en onthulde de bekende beveiligingsonderzoeker Dan Kaminsky een fundamenteel tekortkoming in het DNS-mechanisme van het internet. Kaminsky bewees dat aanvallers adressen kunnen vervalsen domeinen en gegevens kunnen stelen. Sindsdien staat dit bekend als de 'Kaminsky-aanval'.
DNS wordt al tientallen jaren als een onveilige protocol beschouwd, hoewel wordt verondersteld dat het een bepaalde mate van integriteit garandeert. Juist om deze reden wordt er nog steeds sterk op vertrouwd. Tegelijkertijd zijn er mechanismen ontwikkeld om de veiligheid van het oorspronkelijke DNS-protocol te verbeteren. Deze mechanismen omvatten HTTPS, HSTS, DNSSEC en andere initiatieven. Desondanks blijft DNS-interceptie ook in 2021 een gevaarlijke aanval. Het merendeel van het internet vertrouwt nog steeds op DNS zoals in 2008 en is kwetsbaar voor dezelfde soort aanvallen.
Kwetsbaarheden van DNSpooq-cache poisoning:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Deze kwetsbaarheden zijn vergelijkbaar met SAD DNS-aanvallen, waarover recentelijk onderzoekers van de Universiteit van Californië en de Tsinghua Universiteit hebben gerapporteerd. De SAD DNS- en DNSpooq-kwetsbaarheden kunnen ook worden gecombineerd voor nog gemakkelijkere aanvallen. Er zijn ook meldingen gedaan van aanvullende aanvallen met onduidelijke gevolgen door gezamenlijke inspanningen van universiteiten (Poison Over Troubled Forwarders en anderen).
De kwetsbaarheden werken door het verminderen van entropie. Vanwege het gebruik van een zwakke hash voor de identificatie van DNS-verzoeken en een onjuiste overeenkomst tussen verzoek en antwoord, kan de entropie aanzienlijk worden verminderd en hoeft men slechts ~19 bits te raden, wat cache poisoning mogelijk maakt. De manier waarop dnsmasq CNAME-records verwerkt, maakt het mogelijk om een keten van CNAME-records te vervalsen en effectief tot 9 DNS-records gelijktijdig te vervuilen.
Bufferoverloop kwetsbaarheden: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Al deze 4 kwetsbaarheden zijn aanwezig in de code van de DNSSEC-implementatie en doen zich alleen voor wanneer de DNSSEC-validatie in de instellingen is ingeschakeld.
Bron: linux.org.ru
