Uma vulnerabilidade de segurança recém-divulgada no sistema DNS pode deixar os provedores em risco de ataques ao servidor.
Keyu Man, Xin’an Zhou e Zhiyun Qian da Universidade da Califórnia em Riverside disseram em um artigo publicado recentemente que os invasores que exploram a vulnerabilidade podem potencialmente entrar entre a conexão do resolvedor de DNS para o servidor de nomes, permitindo-lhes alterar o endereços IP de servidor conectados a vários domínios da web. A pesquisa sobre a vulnerabilidade, designada CVE-2021-20322, foi apresentada na quarta-feira na Conferência ACM sobre Segurança de Computadores e Comunicações na Coréia do Sul.
O ponto central do ataque é a maneira como o Linux lida com as consultas DNS em servidores, especificamente os pacotes ICMP (Internet Control Message Protocol ). A equipe de pesquisa acadêmica descobriu que esses comportamentos podem ser usados para inferir o número da porta UDP (User Datagram Protocol ) entre o resolvedor e o servidor de nomes, algo que, de outra forma, é aleatório e extremamente difícil de adivinhar.
Ao criar pacotes ICMP especialmente criados, dispará-los em massa em um bloco de números de porta em potencial e, em seguida, analisar o conteúdo das respostas da mensagem de erro, seria possível estreitar o número de conexões em potencial até o ponto em que o número da porta privada poderia ser funcionou.
A partir daí, o invasor pode falsificar a conexão entre o servidor de nomes e o resolvedor, instruir o resolvedor a definir endereços IP arbitrários para domínios populares e habilitar qualquer coisa, desde ataques de phishing a downloads drive-by.
“Surpreendentemente, descobrimos novos canais secundários que estão à espreita na pilha de rede do Linux há mais de uma década e ainda não eram conhecidos”, escreveram os pesquisadores em seu artigo, acrescentando que até 38% dos resolvedores de DNS são vulneráveis a ataques .
No entanto, a equipe alertou que o Linux não é o único vetor de ameaça para este ataque. “Os canais secundários afetam não apenas o Linux, mas também uma ampla gama de softwares DNS executados nele, incluindo BIND, Unbound e dnsmasq.”
A pesquisa se baseia em um conjunto anterior de ataques que os pesquisadores descobriram e apelidaram de “SADDNS”. A pesquisa SADDNS mostrou como o limite de taxa no sistema UDP pode ser usado para inferir a porta para a conexão do servidor de nomes.
“Em SADDNS, o insight principal é que um recurso compartilhado, ou seja, o limite de taxa global ICMP compartilhado entre o invasor off-path e a vítima, pode ser aproveitado para enviar sondagens UDP falsificadas e inferir qual porta efêmera é usada”, explicou o trio em o papel. “Infelizmente, não está claro quantos canais laterais existem na pilha da rede.”
O trabalho também remete à pesquisa do falecido Dan Kaminsky, um renomado pesquisador de segurança que em 2008 causou um grande rebuliço na indústria ao revelar a possibilidade de ataques de envenenamento de cache DNS em grande escala. Kaminsky morreu no início deste ano com 42 anos.
A equipe já relatou a falha em particular e, embora o kernel Linux, BIND e Unbound tenham patches para corrigir os bugs, Man disse ao SearchSecurity que não está claro onde os próprios provedores de DNS estão no processo.
“Nós relatamos nossas descobertas a vários provedores de DNS como AdGuard, OpenDNS e Quad9, e eles reconheceram as vulnerabilidades”, disse Man. “Mas, pelo que sabemos, apenas o OpenDNS nos disse que corrigiu o problema.”
Quanto aos administradores e usuários finais, a equipe recomenda certificar-se de que seu kernel Linux e BIND / Unbound estejam atualizados. Os administradores também podem colocar limites adicionais sobre como o tráfego ICMP é tratado.
“Uma solução fácil de implantar seria rejeitar pacotes ICMP necessários para fragmentos e redirecionar pacotes ICMP usando iptables e ip6tables, o que pode ser feito em tempo de execução sem reiniciar o serviço”, disse Man. “Mas isso pode interromper o uso legítimo desses pacotes.”
Fonte: https://www.techtarget.com/
Uma cidade na Carolina do Norte e um escritório de advogados distritais cobrindo quatro condados…
O surgimento da Nytheon AI marca uma escalada significativa no cenário das plataformas (LLM) de…
Um pesquisador de segurança revelou uma vulnerabilidade crítica de injeção de SOQL no controlador interno…
Falha permite que invasores manipulem o agente de um usuário por meio de um problema…
Um exploit de dia zero, dirigido aos firewalls FortiGate da Fortinet, foi descoberto à venda…
A família SHELBY mostra um exemplo preocupante de malware moderno com design modular, sofisticado e…