Säkerhetsbrister i FreeBSD, IPnet och Nucleus NET relaterade till fel vid implementeringen av komprimering i DNS.

Forscout Research Labs och JSOF Research har publicerat resultaten av en gemensam säkerhetsstudie av olika implementeringar av komprimeringsschemat som används för att packa upprepande namn i DNS-meddelanden, mDNS, DHCP och IPv6 RA (packning av dubbletter av domändelar i meddelanden som inkluderar flera namn). Under arbetet identifierades nio sårbarheter som sammanfattas under kodnamnet NAME:WRECK.

Problem har upptäckts i FreeBSD, samt i nätverksunderlag IPnet, Nucleus NET och NetX, som används i realtidsoperativsystemen VxWorks, Nucleus och ThreadX, som används i automatiseringsenheter, lagringssystem, medicinska apparater, flygplanssystem, skrivare och konsumentelektronik. Det antas att sårbarheterna påverkar minst 100 miljoner enheter.

• Sårbarheten i FreeBSD (CVE-2020-7461) möjliggjorde exekvering av angriparens kod genom att skicka en speciellt utformad DHCP-paket från en angripare som befinner sig i samma lokala nätverk som offret, där bearbetningen av paketet av en sårbar DHCP-klient ledde till en buffertöverskridning. Problemet mildrades av att processerna dhclient, där sårbarheten finns, kördes med nedgraderade privilegier i en isolerad Capsicum-miljö, vilket krävde att ytterligare en sårbarhet upptäcktes för att ta sig ut.

  Felet ligger i en felaktig kontroll av parametrar i det paket som DHCP-servern returnerar med 119-optionen för DHCP, som möjliggör att skicka en lista med "domain search" till resolveren. Felaktig beräkning av storleken på bufferten som behövs för att rymma de uppackade domännamn, ledde till att kontrollerad information från angriparen skrivs utanför den tilldelade bufferten. Problemet i FreeBSD åtgärdades redan i september förra året. Problemet kan endast utnyttjas om det finns åtkomst till det lokala nätverket.
• Sårbarheten i det inbäddade nätverksstacken IPnet, som används i RTOS VxWorks, gör det potentiellt möjligt att exekvera kod på DNS-klientens sida till följd av felaktig hantering av komprimerade DNS-meddelanden. Som det visade sig upptäcktes denna sårbarhet för första gången av företaget Exodus redan 2016, men åtgärdades aldrig. En ny begäran till företaget Wind River har också förblivit obesvarad och enheter med IPnet förblir sårbara.
• I TCP/IP-stacken Nucleus NET, som stöds av Siemens, har sex sårbarheter identifierats, varav två kan leda till fjärrkodexekvering och fyra till tjänsteavbrott. Det första kritiska problemet är kopplat till ett fel vid avpackning av komprimerade DNS-meddelanden, medan det andra rör felaktig hantering av domännamnstaggar. Båda problemen orsakar buffertöverflöd vid bearbetning av speciellt utformade DNS-svar.

  För att utnyttja sårbarheterna räcker det för angriparen att skicka ett speciellt formulerat svar på vilken legitim förfrågan som helst som skickas från den sårbara enheten, till exempel genom att genomföra en MTIM-attack och infiltrera trafiken mellan DNS-servern och offret. Om angriparen har tillgång till det lokala nätverket kan han starta en DNS-server som försöker attackera de drabbade enheterna genom att skicka mDNS-förfrågningar i multicastläge.

• Sårbarheten i nätverksstacken NetX (Azure RTOS NetX), utvecklad för ThreadX RTOS och offentliggjord 2019 efter övergången till Microsoft, begränsades till tjänsteavbrott. Problemet orsakas av ett fel i avkodningen av komprimerade DNS-meddelanden i resolverns implementation.

Av de granskade nätverksstackarna, där inga sårbarheter relaterade till komprimering av upprepande data i DNS-meddelanden har funnits, nämns projekten lwIP, Nut/Net, Zephyr, uC/TCP-IP, FreeRTOS+TCP, OpenThread och FNET. De första två (Nut/Net och lwIP) stöder överhuvudtaget inte komprimering i DNS-meddelanden, medan de övriga utför denna operation utan fel. Dessutom noteras att samma forskare tidigare har identifierat liknande sårbarheter i stackarna Treck, uIP och PicoTCP.

Källa: opennet.ru