Sårbarheterna KeyTrap och NSEC3 påverkar de flesta implementationer av DNSSEC.

I olika implementationer av protokollet DNSSEC har två sårbarheter upptäckts som berör DNS-resolvere BIND, PowerDNS, dnsmasq, Knot Resolver och Unbound. Sårbarheterna möjliggör en överbelastningsattack mot DNS-resolvere som validerar med hjälp av DNSSEC, vilket skapar hög CPU-belastning som hindrar behandling av andra förfrågningar. För att genomföra en attack räcker det med att skicka en förfrågan till en DNS-resolver som använder DNSSEC, vilket leder till en begäran som hänvisar till en specifikt utformad DNS-zon på angriparens server.

Identifierade problem:

• CVE-2023-50387 (kodnamn KeyTrap) — ett anrop till specifikt utformade DNS-zoner leder till en överbelastningstjänstfel på grund av betydande CPU-belastning och långvarig DNSSEC-validering. För att genomföra en attack måste en angripare placera en domänzon med skadliga inställningar på en DNS-server under sin kontroll samt få en rekursiv DNS-server att referera till den zonen, vars överbelastning angriparen syftar till.

  De skadliga inställningarna innebär att använda en kombination av konfliktande nycklar, RRSET-poster och digitala signaturer för zonen. Försöket att validera med dessa nycklar resulterar i långvariga, resurskrävande operationer som kan fullständigt belasta CPU:n och blockera behandling av andra förfrågningar (till exempel rapporteras det att vid en attack på BIND lyckades man stoppa behandlingen av andra förfrågningar i 16 timmar).
• CVE-2023-50868 (kodnamn NSEC3) — ett överbelastningsfel orsakat av betydande beräkningar vid hashberäkningar i NSEC3-poster (Next Secure v3) vid behandling av specifikt utformade DNSSEC-svar. Attackmetoden liknar den första sårbarheten, med undantaget att en speciellt utformad uppsättning NSEC3 RRSET-poster skapas på angriparens DNS-server.

Det noteras att uppkomsten av ovanstående sårbarheter beror på att specifikationen för DNSSEC tillåter DNS-servern att skicka alla tillgängliga kryptografiska nycklar, medan resolvere måste bearbeta alla mottagna nycklar tills valideringen är framgångsrik eller alla mottagna nycklar har kontrollerats.

Som åtgärder för att blockera sårbarheter i resolverare har det maximala antalet DNSSEC-nycklar som används i processen för att bygga en förtroendekedja begränsats, likaså det maximala antalet hashberäkningar för NSEC3, och antalet försök att validera för varje RRSET (kombinationer av nycklar och signaturer) och varje svar är också begränsat. servern.

Sårbarheterna har åtgärdats i uppdateringar av Unbound (1.19.1), PowerDNS Recursor (4.8.6, 4.9.3, 5.0.2), Knot Resolver (5.7.1), dnsmasq (2.90) och BIND (9.16.48, 9.18.24 och 9.19.21). Följande sidor kan användas för att bedöma statusen för sårbarhetsåtgärder i distributioner: Debian, Ubuntu, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware, NetBSD, FreeBSD.

I versionerna av DNS-servern BIND 9.16.48, 9.18.24 och 9.19.21 har ytterligare flera sårbarheter åtgärdats:

• CVE-2023-4408 — parsning av stora DNS-meddelanden kan leda till hög CPU-belastning.
• CVE-2023-5517 — en för speciellt utformad begäran om en bakåtriktad zon kan leda till ett kraschläge på grund av en assert-kontroll. Problemet uppträder endast i konfigurationer där inställningen 'nxdomain-redirect' är aktiverad.
• CVE-2023-5679 — rekursiv bestämning av värdar kan leda till krasch på grund av en assert-kontroll på system som har stöd för DNS64 och 'serve-stale' (inställningarna stale-cache-enable och stale-answer-enable) aktiverade.
• CVE-2023-6516 — speciellt utformade rekursiva förfrågningar kan leda till att den tillgängliga processen minnet tar slut.

Källa: opennet.ru