DNSpooq 漏洞允许 DNS 劫持影响数百万台设备

Andrew 2021-01-20
专栏 - 资讯 发布于 2021-01-20 11:36:20 阅读 112 评论 0

开源软件Dnsmasq中存在允许DNS缓存中毒攻击和远程代码执行的七个漏洞。

研究人员发现了dnsmasq(流行的开源软件)中存在的一系列漏洞,该软件用于缓存家用和商用路由器和服务器的域名系统(DNS)响应。

这七个漏洞包括缓冲区溢出问题和允许DNS缓存中毒攻击(也称为DNS欺骗)的漏洞。如果加以利用,则这些漏洞可以链接在一起,以允许远程执行代码,拒绝服务和其他攻击。

研究人员将这组漏洞标记为“ DNSpooq”,这是DNS欺骗,“间谍监视互联网流量”概念和dnsmasq末尾的“ q ”的组合。

JSOF研究实验室的研究人员在最近的一次分析中说:“ DNSpooq是在无处不在的开源软件dnsmasq中发现的一系列漏洞,表明在描述了上次重大攻击后13年,DNS仍然不安全。”

Dnsmasq已安装在许多组织的许多家用和商用路由器和服务器中。该软件将对先前询问的DNS查询的响应存储在本地,从而加快了DNS解析过程。但是,它还有许多其他用途,包括提供DNS服务以支持Wi-Fi热点,企业访客网络,虚拟化和广告拦截。

研究人员已经确定了至少40家在其产品中使用dnsmasq的供应商,包括思科路由器,Android手机,Aruba设备,Technicolor和Red Hat,以及Siemens,Ubiquiti网络,Comcast等。他们说,总共有“数百万”种设备受到影响。

DNS缓存中毒

其中三个漏洞(CVE-2020-25686,CVE-2020-25684和CVE-2020-25685)可能导致DNS缓存中毒。

DNS缓存中毒是一种攻击,可使DNS查询被破坏。在现实世界中,攻击者可能会使用未经请求的DNS响应来破坏DNS缓存,诱使不知情的Internet浏览器访问经过精心设计的攻击者拥有的网站,然后将其重定向到恶意服务器。

研究人员说,如果受害者认为他们正在浏览一个网站,但实际上却被路由到另一个网站,则有可能导致欺诈和其他各种恶意攻击。其他攻击可能包括网络钓鱼攻击或恶意软件分发。

研究人员说:“可能被破坏的流量包括常规的Internet浏览以及其他类型的流量,例如电子邮件,SSH,远程桌面,RDP视频和语音呼叫,软件更新等。”

缓冲区溢出

研究人员还揭示了dnsmasq中的四个缓冲区溢出漏洞(CVE-2020-25687,CVE-2020-25683,CVE-2020-25682和CVE-2020-25681)。远程攻击者可以使用精心制作的DNS响应来触发内存损坏漏洞。攻击可能导致拒绝服务,信息泄露以及潜在的远程执行代码。

尽管这些漏洞大多数是基于堆的缓冲区溢出问题,可能导致拒绝服务,但其中一个漏洞是高严重性问题,当将dnsmasq配置为使用域名系统安全扩展时,可能潜在地使远程代码执行(DNSSEC),这是一组协议,可为域名系统增加一层安全性。

研究人员说:“对于缓冲区溢出和远程代码执行,不使用DNSSEC功能的设备将不受干扰。” “ DNSSEC是一项安全功能,旨在防止缓存中毒攻击,因此我们不建议您将其关闭,而应更新到最新版本的dnsmasq。”

研究人员说,据Shodan称,大约有100万个dnsmasq服务器在互联网上公开可见,这使通过互联网发起的攻击“非常简单”,并且在几种现实情况下,攻击者都可以利用这些漏洞。

他们说:“这在某些情况下是可能的(我们认为很少),即使货运公司没有向互联网开放。”

另外,如果将dnsmasq服务器仅配置为侦听从内部网络内部接收的连接,并且攻击者在该网络中的任何设备上都占有一席之地,则他们将能够执行攻击。或者,如果将dnsmasq服务器仅配置为侦听从内部网络中接收到的连接,但该网络是开放的(包括机场网络或公司访客网络),则攻击者可能会发起攻击。

影响

漏洞的严重性各不相同,CVE-2020-25681和CVE-2020-25682的严重性很高。但是,研究人员说,如果将这些漏洞链接在一起,则可能导致一系列多阶段攻击。

研究人员说:“这是因为利用某些漏洞使利用其他漏洞更容易。” “例如,我们发现将CVE-2020-25682,CVE-2020-25684和CVE-2020-25685结合使用将导致CVE-2020-25682的攻击复杂性降低(具有相同的影响),并且导致结合使用根据我们的分析,CVSS为9.8。”

研究人员于8月披露了这些漏洞,并于本月公开披露了这些漏洞。这些漏洞在dnsmasq 2.83中得到了解决。使用dnsmasq的物联网(IoT)和嵌入式设备的用户应联系其供应商以获取有关更新的更多信息。

“在CERT / CC和多家公司的志愿者的帮助下,成立了一个工作组,结合了JSOF,CERT / CC,思科,谷歌,红帽,Pi-hole和Simon Kelley的成员的专业知识和广泛的服务范围, dnsmasq的维护者,以确保DNSpooq漏洞得到有效修复,并得到充分记录和传达。”研究人员说。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!