Një grup kërkuesish nga Universiteti i Kalifornisë në Riverside publikoi një variant të ri të sulmit SAD DNS (CVE-2021-20322), i cili funksionon pavarësisht mbrojtjes së shtuar vitin e kaluar për bllokimin e dobësisë CVE-2020-25705. Metoda e re në përgjithësi është e ngjashme me dobësinë e vitit të kaluar dhe dallon vetëm në përdorimin e një lloji tjetër të paketave ICMP për të verifikuar portet aktive UDP. Sulmi i propozuar lejon futjen e të dhënave të rreme në cache-in e serverit DNS, gjë që mund të përdoret për të zëvendësuar në cache adresën IP të një domene të caktuar dhe për të kthyer kërkesat për domenin në serverin e sulmuesit.
Metoda e propozuar është e funksionueshme vetëm në stakun e rrjetit Linux për shkak të lidhjes me veçorinë e funksionimit të mekanizmit të trajtimit të paketave ICMP në Linux, i cili është burimi i rrjedhjes së të dhënave që lehtëson përcaktimin e numrit të portit UDP të përdorur. serverin për dërgimin e një kërkese të jashtme. Ndryshimet që parandalojnë rrjedhjen e informacionit janë pranuar në bërthamën Linux në fund të gushtit (korrigjimi u përfshi në bërthamën 5.15 dhe përditësimet e nëntorit të degëve LTS të bërthamës). Korrigjimi përfshin kalimin në përdorimin e algoritmit të hash-it SipHash në cache-itat e rrjetit në vend të Jenkins Hash.
Sipas të dhënave nga studiuesit që zbuluan problemin, rreth 38% e rezolvuesve të hapur që ndodhen në rrjet janë të ndjeshëm ndaj kësaj ndjeshmërie, duke përfshirë shërbimet e njohura DNS si OpenDNS dhe Quad9 (9.9.9.9). Sa i përket softuerit të serverit, sulmi mund të kryhet duke përdorur paketa të tilla si BIND, Unbound dhe dnsmasq në serverët Linux. Në serverët DNS të ndërtuar me Windows dhe BSD, problemi nuk shfaqet. Për të kryer me sukses sulmin, është e nevojshme të përdoret spufimi i IP-së, domethënë, duhet që ofruesi i sulmuesit të mos bllokojë paketat me një IP adresë të rreme.
Kujtojmë se sulmi SAD DNS lejon kalimin e sigurimeve të cilat janë shtuar në serverët DNS për të bllokuar metodën klasike të helmimit të caches DNS, e propozuar në vitin 2008 nga Dan Kaminsky. Metoda e Kaminsky manipuline një madhësi të vogël të fushës me identifikuesin e kërkesës DNS, i cili është vetëm 16 bit. Për të përzgjedhur identifikuesin e saktë të transaksionit DNS që është i nevojshëm për të mashtruar emrin e host-it, është e mjaftueshme të dërgoni rreth 7000 kërkesa dhe të simuloni rreth 140,000 përgjigje të falsifikuara. Sulmi përfshin dërgimin në DNS resolver të një numri të madh paketash me lidhje të falsifikuara me IP dhe me identifikues të ndryshëm të transaksionit DNS. Për të parandaluar ruajtjen e përgjigjes së parë, në çdo përgjigje të falsifikuar shënohet një emër domeni i ndryshuar pak (1.example.com, 2.example.com, 3.example.com, etj.).
Për të mbrojtur nga ky lloj sulmi, prodhuesit e serverëve DNS zbatuan shpërndarjen e rastësishme të numrave të porteve rrjetësore origjinale, nga të cilat dërgohen kërkesat për zgjidhje, duke kompensuar kështu masën jo mjaft të madhe të identifikuesit. Pas zbatimit të mbrojtjes, për të dërguar një përgjigje të rreme, përveç se duhej të zgjedhej një identifikues 16-bitësh, duhet të përzgjidhej gjithashtu një nga 64 mijë portet, që rriti numrin e mundësive për përzgjedhje deri në 2^32.
Metoda SAD DNS lejon pĂ«r tĂ« simplifikuar ndjeshĂ«m identifikimin e numrit tĂ« portit rrjetit dhe pĂ«r tĂ« reduktuar sulmin nĂ« metodĂ«n klasike tĂ« Kaminskit. Sulmuesi mund tĂ« identifikojĂ« kĂ«rkesat pĂ«r portet UDP tĂ« pa pĂ«rdorura dhe aktive, duke shfrytĂ«zuar rrjedhjen e informacionit mbi aktiviteten e portave rrjetit gjatĂ« pĂ«rpunimit tĂ« paketave ICMP tĂ« pĂ«rgjigjes. Metoda lejon tĂ« zvogĂ«lohet numri i variablave tĂ« provĂ«s me 4 renditje â 2^16+2^16 nĂ« vend tĂ« 2^32 (131_072 nĂ« vend tĂ« 4_294_967_296). Rrjedhja e informacionit, qĂ« lejon tĂ« pĂ«rcaktohet shpejt portet UDP aktive, Ă«shtĂ« shkaku i njĂ« defekti nĂ« kodin e pĂ«rpunimit tĂ« paketave ICMP me kĂ«rkesat pĂ«r fraksionim (flamuri ICMP Fragmentation Needed) ose redirektim (flamuri ICMP Redirect). DĂ«rgimi i kĂ«tyre paketave ndryshon gjendjen e caches nĂ« stekĂ«t rrjet, duke lejuar qĂ« nĂ« bazĂ« tĂ« reagimit tĂ« serverit tĂ« pĂ«rcaktohet cili nga portet UDP Ă«shtĂ« aktiv dhe cili jo.
Skema e sulmit: Kur një DNS-rezolutor përpiqet të përcaktojë emrin e domain-it, ai dërgon një kërkesë UDP në serverin DNS që shërben domenin. Në momentin që rezolutori pret përgjigje, sulmuesi mund të përcaktojë shpejt numrin e portit origjinal që u përdor për dërgimin e kërkesës dhe të dërgojë një përgjigje të rreme, duke u maskuar si serveri DNS që shërben domenin, duke përdorur spufing. adresat IPRezolutori DNS do të vendosë në cache të dhënat e dërguara në përgjigjen e rreme dhe për një periudhë të caktuar do të kthejë adresën IP të vendosur nga sulmuesi për të gjitha kërkesat e tjera DNS për emrin e domain-it.
Burimi: opennet.ru
