ผู้เชี่ยวชาญจากห้องปฏิบัติการวิจัย JSOF รายงานช่องโหว่ใหม่ 2.83 รายการในเซิร์ฟเวอร์ DNS/DHCP DNSSQ เซิร์ฟเวอร์ DNS ได้รับความนิยมอย่างมากและมีการใช้งานเป็นค่าเริ่มต้นใน Linux หลายๆ รุ่น รวมถึงในอุปกรณ์เครือข่ายจาก Cisco, Ubiquiti และอื่นๆ ช่องโหว่ Dnspooq ได้แก่ การแคช DNS และการเรียกใช้โค้ดจากระยะไกล ช่องโหว่ได้รับการแก้ไขใน dnsmasq XNUMX
ในปี 2008 Dan Kaminsky นักวิจัยด้านความปลอดภัยที่มีชื่อเสียงได้ค้นพบและเปิดเผยข้อบกพร่องพื้นฐานในกลไก DNS ของอินเทอร์เน็ต Kaminsky พิสูจน์แล้วว่าผู้โจมตีสามารถปลอมแปลงที่อยู่โดเมนและขโมยข้อมูลได้ นับตั้งแต่นั้นเป็นต้นมา สิ่งนี้กลายเป็นที่รู้จักในชื่อ "การโจมตีแบบคามินสกี้"
DNS ได้รับการพิจารณาว่าเป็นโปรโตคอลที่ไม่ปลอดภัยมานานหลายทศวรรษ แม้ว่าควรจะรับประกันความสมบูรณ์ในระดับหนึ่งก็ตาม ด้วยเหตุนี้เองที่ยังคงพึ่งพาอาศัยกันอย่างมาก ในเวลาเดียวกัน กลไกได้รับการพัฒนาเพื่อปรับปรุงความปลอดภัยของโปรโตคอล DNS ดั้งเดิม กลไกเหล่านี้ได้แก่ HTTPS, HSTS, DNSSEC และโครงการริเริ่มอื่นๆ อย่างไรก็ตาม แม้ว่าจะมีกลไกเหล่านี้ทั้งหมดแล้ว การไฮแจ็ก DNS ยังคงเป็นการโจมตีที่อันตรายในปี 2021 อินเทอร์เน็ตส่วนใหญ่ยังคงใช้ DNS เช่นเดียวกับที่เคยทำในปี 2008 และเสี่ยงต่อการโจมตีประเภทเดียวกัน
ช่องโหว่การเป็นพิษของแคช DNSpooq:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685 ช่องโหว่เหล่านี้คล้ายคลึงกับการโจมตี SAD DNS ที่รายงานโดยนักวิจัยจากมหาวิทยาลัยแคลิฟอร์เนียและมหาวิทยาลัย Tsinghua เมื่อเร็ว ๆ นี้ ช่องโหว่ SAD DNS และ DNSpooq สามารถรวมเข้าด้วยกันเพื่อทำให้การโจมตีง่ายยิ่งขึ้น ความพยายามร่วมกันของมหาวิทยาลัยรายงานการโจมตีเพิ่มเติมที่มีผลกระทบที่ไม่ชัดเจน (Poison Over Troubled Forwarders ฯลฯ)
ช่องโหว่ทำงานโดยการลดเอนโทรปี เนื่องจากการใช้แฮชที่ไม่รุนแรงเพื่อระบุคำขอ DNS และการจับคู่คำขอกับการตอบสนองที่ไม่แม่นยำ เอนโทรปีจึงสามารถลดลงได้อย่างมาก และจำเป็นต้องคาดเดาเพียงประมาณ 19 บิตเท่านั้น ซึ่งทำให้แคชเป็นพิษได้ วิธีที่ dnsmasq ประมวลผลระเบียน CNAME ช่วยให้สามารถปลอมแปลงชุดระเบียน CNAME และวางยาพิษระเบียน DNS ได้สูงสุด 9 รายการในแต่ละครั้ง
ช่องโหว่บัฟเฟอร์ล้น: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681 ช่องโหว่ทั้ง 4 รายการมีอยู่ในโค้ดที่มีการใช้งาน DNSSEC และปรากฏเฉพาะเมื่อเปิดใช้งานการตรวจสอบผ่าน DNSSEC ในการตั้งค่าเท่านั้น
ที่มา: linux.org.ru