Kritična ranljivost vprotokolu DNS

Objaveljeno je na US-CERT, Security Focus, Slashdot, ...

Na vse kar uporablja rekurzivne DNS poizvedbe (strežniki in odjemalci) je potrebno namestiti popravke. Zadeva ni kritična na način, da se bi pričakoval 0-day, je pa še vedno tako zelo kritična, da je zaželjena čim prejšnja namestitev popravkov.

Ne pozabiti na svoje male usmerjevalnike (Level1, SMC, Linksys, Netgear, Buffalo, ...): skratka vse, kar vključuje in uporablja DNS je ranljivo zaradi napake v protokolu.

Pomagajte tudi svojim prijateljem, ki so računalniško manj vešči!

_{( ... pa lep dan še naprej ...)}

Kar hoce BlueRunner povedati je najbrz, da ce na vasem racunalniku tece DNS streznik oz.
DNS odjemalec, s pomocjo te napake ni mogoc vdor na ta PC. 0-day je tezko definirati.
Jaz pod tem pojmom razumem, da bo nekdo imel exploit za to stvar se preden bo cel svet vedel
kaj je bistvo napake. To, da je bilo objavljeno da napaka je + skriti popravki zanjo se ne
spremeni vsega skupaj. Ce bi avtor izdal nek PoC ali pa bolj podroben opis, potem kakrsenkoli
exploit ne bi bil vec 0-day.

Je pa napaka kljub temu dokaj kriticna in omogoca "cache poisoning" - torej zastrupljanje
streznikovega medpomnilnika. V praksi to pomeni, da nekdo lahko zastrupi streznik od
dolocenega ISP-ja. Tako se npr. vsem strankam tega ponudnika www.banka.si resolva v 10.0.0.1
namesto v pravilni IP 192.168.0.1.
To pomeni, da bodo stranke pri obisku www.banka.si se zmeraj lahko pristale na lazni (po
moznosti "phishing" strani). S pomocjo SSL se da zagotoviti, da je tisto na drugi strani res
banka, ampak vseeno pa tole precej olajsa delo goljufom.
Najbrz bo kar precej popularnih strani na tak nacin preusmerjenih drugam. Pri tem
se napadalec dejanske tarce niti ne dotakne (ampak samo spremeni kam kaze hostname).

Da ne govorimo o vseh tistih kvazi avtentikacijskih metodah, ki temeljijo na domenah -
recimo OpenID.

Sem na hitro naredil diff med BIND 9.4.2 in popravljenim BIND 9.4.2-P1.

+2375. [security] Fully randomize UDP query ports to improve
+ forgery resilience. [RT #17949]

Izgleda, da je problem v tem, da se uporabljajo vedno isti izvorni UDP naslovi oz.
ti niso dovolj nakljucno izbrani.

Ravno berem http://www.net-security.org/dl/articles...
Kar mi ni jasno pri vsem tem je, da so ocitno ze leta 2003 vedeli, da server ponovno uporabi isti izvorni port. Kar pomeni, da je samo 16 bitov entropije (transaction id).
Torej kaj je Kaminsky tocno novega pogruntal? Samo to, da ocitno nihce vsega skupaj ni sel popraviti. Ali je odkril se kaksno napako pri generatorju nakljucnih stevil za TID, ki bi
naredil napad se bolj enostaven.
Nasel sem samo http://www.kb.cert.org/vuls/id/252735
Ampak tole je ocitno ze odpravljeno.

Napadalec mora torej spoofati IP od dolocenega nameserverja in odgovarjati drugemu DNS
strezniku v njegovem imenu (ce zadane izvorni port + TID bo ta potem shranil njegov odgovor v
medpomnilnik).