Especialistas dos laboratórios de pesquisa JSOF relataram sete novas vulnerabilidades no servidor DNS/DHCP dnsmasq. O servidor dnsmasq é bastante popular e utilizado por padrão em muitas distribuições Linux, bem como em equipamentos de rede da Cisco, Ubiquiti e outros. As vulnerabilidades Dnspooq incluem envenenamento de cache DNS e execução remota de código. As vulnerabilidades foram corrigidas no dnsmasq 2.83.
Em 2008, o famoso pesquisador de segurança Dan Kaminsky descobriu e divulgou uma falha fundamental no mecanismo DNS da Internet. Kaminsky provou que invasores podem falsificar endereços domínios e roubar dados. Desde então, isso passou a ser conhecido como 'Ataque de Kaminsky'.
O DNS é considerado um protocolo inseguro há décadas, embora se suponha que ele garanta um certo nível de integridade. É por essa razão que ainda é amplamente utilizado. Ao mesmo tempo, foram desenvolvidos mecanismos para aumentar a segurança do protocolo original DNS. Esses mecanismos incluem HTTPS, HSTS, DNSSEC e outras iniciativas. No entanto, mesmo com todos esses mecanismos, o sequestro de DNS ainda é um ataque perigoso em 2021. Grande parte da internet ainda confia no DNS da mesma forma que em 2008, e está sujeita a ataques do mesmo tipo.
Vulnerabilidades de envenenamento de cache DNSpooq:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Essas vulnerabilidades são semelhantes aos ataques SAD DNS, recentemente relatados por pesquisadores da Universidade da Califórnia e da Universidade Tsinghua. As vulnerabilidades SAD DNS e DNSpooq também podem ser combinadas para facilitar ainda mais os ataques. Relatórios sobre outros ataques com consequências incertas também foram feitos em esforços conjuntos de universidades (Poison Over Troubled Forwarders e outros).
As vulnerabilidades operam através da redução da entropia. Devido ao uso de um hash fraco para identificar consultas DNS e à correspondência imprecisa de consultas às respostas, a entropia pode ser significativamente reduzida, sendo necessário adivinhar apenas ~19 bits, o que torna possível o envenenamento de cache. A forma como o dnsmasq processa os registros CNAME permite falsificar a cadeia de registros CNAME e efetivamente envenenar até 9 registros DNS ao mesmo tempo.
Vulnerabilidades de buffer overflow: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Todas as 4 vulnerabilidades listadas estão presentes no código com a implementação do DNSSEC e se manifestam apenas quando a verificação através do DNSSEC está ativada nas configurações.
Fonte: linux.org.ru
