{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"Kwetsbaarheden KeyTrap en NSEC3, die de meeste implementaties van DNSSEC treffen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In verschillende implementaties van het DNSSEC-protocol zijn er twee kwetsbaarheden vastgesteld die DNS-resolvers zoals BIND, PowerDNS, dnsmasq, Knot Resolver en Unbound treffen. Deze kwetsbaarheden kunnen leiden tot een denial-of-service voor DNS-resolvers die validatie uitvoeren met behulp van DNSSEC, door hoge CPU-belasting te veroorzaken die de verwerking van andere verzoeken belemmert. Voor het uitvoeren van een aanval is het voldoende om een verzoek te sturen naar een DNS-resolver die DNSSEC gebruikt, dat leidt tot een verwijzing naar een speciaal opgestelde DNS-zone op de server van de aanvaller. <\/p>\n
Geconstateerde problemen: <\/p>\n
\n
CVE-2023-50387 (codenaam KeyTrap) \u2014 het benaderen van speciaal opgemaakte DNS-zones leidt tot een denial-of-service door een aanzienlijke belasting van de CPU en langdurige uitvoering van DNSSEC-controles. Voor een aanval is het nodig om een domeinzones met schadelijke instellingen te hosten op een door de aanvaller gecontroleerde DNS-server en om ervoor te zorgen dat een recursieve DNS-server deze zone aanroept, wat de aanvaller een denial-of-service probeert te bezorgen.\n
Kwaadaardige instellingen komen neer op het gebruik van een combinatie van conflicterende sleutels, RRSET-records en digitale handtekeningen voor de zone. Een poging om te valideren met behulp van deze sleutels leidt tot langdurige, resource-intensieve operaties die de CPU volledig kunnen belasten en de verwerking van andere verzoeken blokkeren (bijvoorbeeld wordt beweerd dat de verwerking van andere verzoeken bij een aanval op BIND tot 16 uur is stopgezet). <\/p>\n
CVE-2023-50868 (codenaam NSEC3) \u2014 denial-of-service door aanzienlijke computaties bij het berekenen van hashes in NSEC3 (Next Secure v3) records bij het verwerken van speciaal opgemaakte DNSSEC-antwoorden. De aanvalsmethode lijkt op de eerste kwetsbaarheid, met het verschil dat er een speciaal opgemaakt NSEC3 RRSET op de DNS-server van de aanvaller wordt aangemaakt. <\/ul>\n
Het wordt opgemerkt dat het verschijnen van de bovengenoemde kwetsbaarheden voortkomt uit de definitie in de DNSSEC-specificatie van de mogelijkheid voor DNS-servers om alle beschikbare cryptografische sleutels te versturen, terwijl resolvers alle ontvangen sleutels moeten verwerken totdat de validatie succesvol is of alle ontvangen sleutels zijn gecontroleerd. <\/p>\n
Als maatregel om kwetsbaarheden in resolvers te blokkeren, is het maximale aantal DNSSEC-sleutels dat wordt gebruikt bij het opbouwen van de vertrouwensketen beperkt, evenals het maximale aantal hash-berekeningen voor NSEC3. Daarnaast zijn de herhaalkansen voor elke RRSET (combinaties van sleutels en handtekeningen) en elk antwoord gelimiteerd. de server<\/a>. <\/p>\n