Ang mga espesyalista mula sa JSOF research labs ay nag-ulat ng pitong bagong kahinaan sa DNS/DHCP server dnsmasq. Ang dnsmasq server ay napakapopular at ginagamit bilang default sa maraming mga distribusyon ng Linux, gayundin sa mga kagamitan sa network mula sa Cisco, Ubiquiti at iba pa. Kasama sa mga kahinaan ng Dnspooq ang pagkalason sa cache ng DNS pati na rin ang pagpapatupad ng malayuang code. Ang mga kahinaan ay naayos na sa dnsmasq 2.83.
Noong 2008, natuklasan at inilantad ng kilalang mananaliksik ng seguridad na si Dan Kaminsky ang isang pangunahing depekto sa mekanismo ng DNS ng Internet. Pinatunayan ni Kaminsky na ang mga umaatake ay maaaring manloko ng mga address ng domain at magnakaw ng data. Ito ay naging kilala bilang "Kaminsky Attack".
Ang DNS ay itinuturing na isang hindi secure na protocol sa loob ng mga dekada, bagama't ito ay dapat na ginagarantiyahan ang isang tiyak na antas ng integridad. Ito ang dahilan kung bakit ito ay lubos na umaasa. Kasabay nito, ang mga mekanismo ay binuo upang mapabuti ang seguridad ng orihinal na DNS protocol. Kasama sa mga mekanismong ito ang HTTPS, HSTS, DNSSEC at iba pang mga inisyatiba. Gayunpaman, sa kabila ng lahat ng mekanismong ito, ang pag-hijack ng DNS ay mapanganib pa rin sa 2021. Karamihan sa Internet ay umaasa pa rin sa DNS sa parehong paraan na ginawa nito noong 2008, at madaling kapitan sa parehong mga uri ng pag-atake.
Mga kahinaan sa pagkalason sa cache ng DNSpooq:
CVE-2020-25686, CVE-2020-25684, CVE-2020-25685. Ang mga kahinaang ito ay katulad ng mga pag-atake ng SAD DNS kamakailan na iniulat ng mga mananaliksik mula sa University of California at Tsinghua University. Ang mga kahinaan ng SAD DNS at DNSpooq ay maaari ding pagsamahin upang gawing mas madali ang mga pag-atake. Ang mga karagdagang pag-atake na may hindi malinaw na mga kahihinatnan ay naiulat din sa pamamagitan ng magkasanib na pagsisikap ng mga unibersidad (Poison Over Troubled Forwarders, atbp.).
Gumagana ang mga kahinaan sa pamamagitan ng pagbabawas ng entropy. Dahil sa paggamit ng mahinang hash upang matukoy ang mga kahilingan sa DNS at ang hindi tumpak na pagtutugma ng kahilingan sa tugon, maaaring mabawasan nang husto ang entropy at ~19 bits lamang ang kailangang hulaan, na ginagawang posible ang pagkalason sa cache. Ang paraan ng pagpoproseso ng dnsmasq sa mga tala ng CNAME ay nagbibigay-daan dito na madaya ang isang hanay ng mga tala ng CNAME at epektibong lason ang hanggang 9 na tala ng DNS sa isang pagkakataon.
Mga kahinaan sa buffer overflow: CVE-2020-25687, CVE-2020-25683, CVE-2020-25682, CVE-2020-25681. Ang lahat ng 4 na nabanggit na kahinaan ay naroroon sa code na may pagpapatupad ng DNSSEC at lumalabas lamang kapag ang pagsuri sa pamamagitan ng DNSSEC ay pinagana sa mga setting.
Pinagmulan: linux.org.ru