Een groep onderzoekers van de Universiteit van Californi\u00eb in Riverside heeft een nieuwe variant van de SAD DNS-aanval (CVE-2021-20322) gepubliceerd, die werkt ondanks de beveiliging die vorig jaar is toegevoegd om de kwetsbaarheid CVE-2020-25705 te blokkeren. De nieuwe methode is in wezen vergelijkbaar met de kwetsbaarheid van vorig jaar en verschilt alleen in het gebruik van een ander type ICMP-pakket om actieve UDP-poorten te controleren. De voorgestelde aanval stelt in staat om valse gegevens in de cache van de DNS-server in te voegen, wat kan worden gebruikt om het IP-adres van willekeurige domeinen in de cache te vervangen en verzoeken naar het domein naar de server van de aanvaller te leiden. <\/p>\n
De voorgestelde methode is alleen werkzaam in de netwerkstack van Linux vanwege de binding aan een specifiek kenmerk van de manier waarop het ICMP-pakketverwerkingsmechanisme in Linux werkt, dat een bron van datalekkage is, wat het identificeren van het gebruikte UDP-poortnummer vergemakkelijkt. server<\/a> voor het verzenden van een externe aanvraag. Wijzigingen die datalekken blokkeren, zijn eind augustus in de Linux-kernel opgenomen (de correctie maakt deel uit van kernelversie 5.15 en de september-updates van de LTS-kernelbranches). De correctie bestaat uit de overstap naar het gebruik van het SipHash-hash-algoritme in plaats van Jenkins Hash in netwerkketens. De status van het verhelpen van de kwetsbaarheid in distributies kan worden beoordeeld op de volgende pagina's: Debian, RHEL, Fedora, SUSE, Ubuntu. <\/p>\n Volgens de onderzoekers die het probleem hebben ontdekt, is ongeveer 38% van de open resolvers die online zijn kwetsbaar, inclusief populaire DNS-diensten zoals OpenDNS en Quad9 (9.9.9.9). Wat betreft de serversoftware kan de aanval worden uitgevoerd met behulp van pakketten zoals BIND, Unbound en dnsmasq op Linux-servers. Het probleem doet zich niet voor op DNS-servers die draaien op Windows- en BSD-systemen. Voor een succesvolle aanval is IP-spoofing vereist, d.w.z. de provider van de aanvaller moet pakketten met een vals bron-IP-adres niet blokkeren. <\/p>\n Laten we herinneren dat de SAD DNS-aanval het mogelijk maakt om de beveiliging te omzeilen die aan DNS-servers is toegevoegd om de klassieke methode voor DNS-cache poisoning, voorgesteld door Dan Kaminsky in 2008, te blokkeren. De methode van Kaminsky manipuleert met een onbeduidende grootte van het veld voor het identificatienummer van het DNS-verzoek, dat slechts 16 bits bedraagt. Om het juiste identificatienummer van de DNS-transactie te vinden dat nodig is voor het vervalsen van de hostnaam, is het voldoende om ongeveer 7000 verzoeken te versturen en ongeveer 140.000 valse antwoorden te simuleren. De aanval bestaat uit het versturen van een groot aantal pakketten met valse bindings naar IP en verschillende identificatienummers van de DNS-transactie naar de DNS-resolver. Om te voorkomen dat de eerste reactie wordt gecachet, wordt in elk valse antwoord een iets gewijzigde domeinnaam opgegeven (1.example.com, 2.example.com, 3.example.com, enzovoorts). <\/p>\n Om zich tegen dit type aanval te beschermen, hebben fabrikanten van DNS-servers willekeurige toewijzing van nummers van de brons-netwerkpoorten ge\u00efmplementeerd, van waaruit de resolververzoeken worden verzonden, wat het probleem van de te kleine identificators heeft gecompenseerd. Na de implementatie van deze verdediging was het naast het vinden van een 16-bits identificator ook noodzakelijk om een van de 64.000 poorten te vinden om een vals antwoord te verzenden, wat het aantal mogelijkheden voor het raden verhoogde tot 2^32. <\/p>\n De SAD DNS-methode maakt het aanzienlijk eenvoudiger om het netwerkpoortnummer te bepalen en reduceert de aanval tot de klassieke methode van Kaminisky. De aanvaller kan verzoeken naar ongebruikte en actieve UDP-poorten identificeren door gebruik te maken van de informatie die lekt over de activiteit van netwerkpoorten bij het verwerken van ICMP-antwoorden. Deze methode stelt je in staat om het aantal mogelijkheden voor brute-force-aanvallen met 4 orde van grootte te verminderen \u2014 2^16+2^16 in plaats van 2^32 (131_072 in plaats van 4_294_967_296). De informatie die het mogelijk maakt om actieve UDP-poorten snel te identificeren, lekt door een tekortkoming in de code die ICMP-pakketten verwerkt met fragmentatieverzoeken (ICMP-vlag Fragmentation Needed) of omleidingen (ICMP-vlag Redirect). Het verzenden van dergelijke pakketten verandert de toestand van de cache in de netwerkstack, waardoor op basis van de reactie van de server kan worden bepaald welke UDP-poort actief is en welke niet. <\/p>\n Aanvalsscenario: Wanneer een DNS-resolver probeert een domeinnaam te bepalen, stuurt deze een UDP-verzoek naar de DNS-server die het domein bedient. Op het moment dat de resolver op een antwoord wacht, kan de aanvaller snel het nummer van de oorspronkelijke poort bepalen die is gebruikt voor het verzenden van het verzoek en een vervalst antwoord naar die poort sturen, zich voordoend als de DNS-server die het domein bedient, met behulp van spoofing. IP-adressen<\/a>De DNS-resolver plaatst de in het vervalste antwoord verstrekte gegevens in de cache en zal enige tijd voor alle andere DNS-verzoeken naar de domeinnaam het vervalste IP-adres van de aanvaller retourneren. \u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 CVE-2020-25705. \u041d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0432 \u0446\u0435\u043b\u043e\u043c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e\u0434\u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043b\u0438\u0448\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0442\u0438\u043f\u0430 ICMP-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 UDP-\u043f\u043e\u0440\u0442\u043e\u0432. \u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0447\u0442\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102308","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Nieuwe variant van de SAD DNS-aanval voor het invoegen van vervalste gegevens in de DNS-cache | ProHoster","description":"Een groep onderzoekers van de Universiteit van Californi\u00eb in Riverside heeft een nieuwe variant van de SAD DNS-aanval (CVE-2021-20322) gepubliceerd, die functioneert ondanks de beveiliging die vorig jaar is toegevoegd om de kwetsbaarheid te blokkeren.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u044d\u0448 DNS | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u041a\u0430\u043b\u0438\u0444\u043e\u0440\u043d\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0432 \u0420\u0438\u0432\u0435\u0440\u0441\u0430\u0439\u0434\u0435 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u0442\u0430\u043a\u0438 SAD DNS (CVE-2021-20322), \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0442\u0443, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0433\u043e\u0434\u0443 \u0434\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/novyj-variant-ataki-sad-dns-dlya-podstanovki-fiktivnyh-dannyh-v-kesh-dns","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-17T19:36:54+00:00","article:modified_time":"2021-11-17T19:36:54+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102308","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-17 19:38:17","updated":"2026-02-09 21:46:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/102308","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=102308"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/102308\/revisions"}],"predecessor-version":[{"id":160307,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/102308\/revisions\/160307"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=102308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=102308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=102308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"