Dnsmasq табылган аялуу жерлери DNS кэшиндеги мазмунду бурмалоого жол берген

Жөнүндө маалымат Dnsmasq пакетиндеги 7 кемчиликти аныктады, кэштелген DNS чечүүчү жана DHCP серверин бириктирген DNSpooq код аты берилген. Маселеs DNS кэш чабуулдарына же буфер толуп кетишине жол берет бул кол салуучунун кодун алыстан аткарууга алып келиши мүмкүн.

Жакында болсо дагы Dnsmasq демейки шартта кадимки Linux таркатууларында чечүүчү катары колдонулбайт, ал дагы деле Androidде колдонулат жана OpenWrt жана DD-WRT сыяктуу адистештирилген дистрибьютерлер, ошондой эле көптөгөн өндүрүүчүлөрдүн зымсыз роутерлери үчүн орнотулган программалар. Кадимки бөлүштүрүүлөрдө dnsmasq жашыруун колдонулушу мүмкүн, мисалы, libvirt колдонулганда, виртуалдык машиналарда DNS кызматын көрсөтө баштаса болот же ал NetworkManager конфигураторундагы орнотууларды өзгөртүү менен иштетилет.

Зымсыз роутерди жаңыртуу маданияты көп нерсени каалагандыктан, Изилдөөчүлөр аныкталган көйгөйлөр чечилбей калышы мүмкүн деп чочулашат узак убакытка чейин жана маршрутизаторлорго көзөмөлдү алуу же колдонуучуларды кара ниет сайттарга багыттоо үчүн автоматташтырылган чабуулдарга катышып келишет.

Dnsmasq базасында болжол менен 40 компания бар, анын ичинде Cisco, Comcast, Netgear, Ubiquiti, Siemens, Arista, Technicolor, Аруба, Wind River, Asus, AT&T, D-Link, Huawei, Juniper, Motorola, Synology, Xiaomi, ZTE жана Zyxel. Мындай шаймандардын колдонуучуларына, анда көрсөтүлгөн DNS сурамдарын кайра багыттоо кызматын колдонбоңуз деп эскертүүгө болот.

Аялуу жерлеринин биринчи бөлүгү Днсмасктагы табылган DNS кэштен уулануу кол салуудан коргоону билдирет, 2008-жылы Дан Каминский сунуш кылган методиканын негизинде.

Аныкталган маселелер учурдагы коргоону натыйжасыз кылат жана кэштеги каалаган домендин IP дарегин бурмалоого уруксат берүү. Каминскийдин методу DNS сурамынын идентификациялык талаасынын анча-мынча көлөмүн иштетет, ал болгону 16 бит.

Хост атын алдоо үчүн керектүү идентификаторду табуу үчүн, болжол менен 7.000 сурам жөнөтүп, болжол менен 140.000 жасалма жоопторду окшоштуруңуз. Кол салуу DNS резолюциясына көптөгөн IP жасалма пакеттерди жөнөтүүгө чейин жетет ар кандай DNS бүтүм аныктагычтары менен.

Аныкталган аялуу жерлер 32-биттик энтропиянын деңгээлин төмөндөтөт 19 битти болжолдошу керек, бул кэштен уулануу чабуулун реалдуу кылат. Андан тышкары, dnsmasq CNAME жазууларын иштетип, бир эле учурда 9 DNS жазуусун натыйжалуу бурмалоо үчүн CNAME жазууларынын чынжырларын бурмалоого мүмкүндүк берет.

  • CVE-2020-25684: тышкы серверлерден DNS жоопторун иштеп чыгууда IP дареги жана порт номери менен айкалыштырылган суроо-талап идентификациясынын жоктугу. Бул жүрүм-турум RFC-5452 менен туура келбейт, бул жоопко дал келгенде кошумча сурам атрибуттарын колдонууну талап кылат.
  • CVE-2020-25686: Ушул эле аталыштагы күтүлүп жаткан сурамдардын текшерилбегендиги, бул туулган күндүн ыкмасын колдонуп, жооп берүү үчүн талап кылынган аракеттердин санын бир кыйла азайтууга мүмкүндүк берет. CVE-2020-25684 аялуу жагы менен айкалыштырганда, бул функция чабуулдун татаалдыгын бир кыйла төмөндөтүшү мүмкүн.
  • CVE-2020-25685: жоопторду текшерүүдө ишенимсиз CRC32 хэштөөнүн алгоритмин колдонуу, DNSSECсиз компиляция болгон учурда (SHA-1 DNSSEC менен колдонулат). Ачыктык, максаттуу домен менен бирдей CRC32 таштандысына ээ болгон домендерди эксплуатациялоого мүмкүндүк берүү менен аракеттердин санын кыйла азайтуу үчүн колдонулушу мүмкүн.
  • Көйгөйлөрдүн экинчи топтому (CVE-2020-25681, CVE-2020-25682, CVE-2020-25683 жана CVE-2020-25687) айрым тышкы маалыматтарды иштетүүдө буфердик толуп кетүүлөрдү пайда кылган каталардан улам келип чыккан.
  • CVE-2020-25681 жана CVE-2020-25682 аялуу жерлери үчүн, тутумда коддун аткарылышына алып келүүчү эксплуатацияларды жаратууга болот.

Акыры, бул айтылган аялуу жерлер Dnsmasq 2.83 жаңыртуусунда каралат жана чечүү жолу катары, буйрук сабынын параметрлерин колдонуу менен DNSSECти жана сурамдарды кэштөөнү өчүрүп коюу сунушталат.

булагы: https://kb.cert.org


Макаланын мазмуну биздин принциптерге карманат редакциялык этика. Ката жөнүндө кабарлоо үчүн чыкылдатыңыз бул жерде.

Комментарий биринчи болуп

Комментарий калтырыңыз

Сиздин электрондук почта дареги жарыяланбайт. Милдеттүү талаалар менен белгиленет *

*

*

  1. Маалыматтар үчүн жооптуу: Мигель Анхель Гатан
  2. Маалыматтын максаты: СПАМды көзөмөлдөө, комментарийлерди башкаруу.
  3. Мыйзамдуулук: Сиздин макулдугуңуз
  4. Маалыматтарды берүү: Маалыматтар үчүнчү жактарга юридикалык милдеттенмелерден тышкары билдирилбейт.
  5. Маалыматтарды сактоо: Occentus Networks (ЕС) тарабынан уюштурулган маалыматтар базасы
  6. Укуктар: Каалаган убакта маалыматыңызды чектеп, калыбына келтирип жана жок кыла аласыз.