Обнаружена критическая уязвимость в протоколе DNS

[Auren]

Дэн Каминский (Dan Kaminsky) обнаружил критическую уязвимость в принципе работы большинства DNS серверов (проблема дизайна протокола), позволяющую добиться помещения не соответствующих реальности данных в кэш DNS сервера, работающего в роли рекурсивного резолвера. Например, злоумышленник может инициировать помещение в кэш DNS сервера некорректного IP для резолвинга определенного домена, который будет выдан клиенту при последующем запросе информации о заданном хосте.

Проблеме присвоен максимальный уровень опасности, рекомендуется как можно скорее установить обновление. Частичным утешением может выступить тот факт, что полное описание новой техники DNS спуффинга будет опубликовано Дэном Каминским на конференции "Black Hat", которая состоится 7 августа.

Организация ISC уже выпустила обновление BIND 9.5.0-P1, BIND 9.4.2-P1 и BIND 9.3.5-P1, а также опубликовала специальный пресс-релиз, в котором подчеркнута серьезность проблемы и необходимость скорейшего обновления. К сожалению исправление существенно понижает производительность сервера, что особенно начинает проявляться при нагрузке в 10 тыс. запросов в секунду и выше. В бета версиях 9.5.1b1/9.4.3b2 начато тестирование оптимизированного варианта исправления, который должен частично решить возникшие проблемы с производительностью. Тем не менее, полную защиту от данного вида атак может обеспечить только использование DNSSEC.

Проверить DNS сервер на уязвимость можно на данной странице. Доступность исправлений для различных платформ можно узнать здесь. Кроме BIND, в настоящий момент уязвимость подтверждена в Cisco IOS, Juniper JunOS, Microsoft Windows DNS Server. Проблема отсутствует в PowerDNS (резолвер выделен в отдельный продукт PowerDNS Recursor, об уязвимости которого ничего не сообщается).

via opennet.ru

[Neo]

В течениe минувших суток в DNS системе была ликвидирована фундаментальная ошибка

09 июля, 2008

В течениe минувших суток в системе интернет-адресации была ликвидирована фундаментальная ошибка, эксплуатация которой позволяла злоумышленникам подделывать адреса веб-сайтов. Данная ошибка касалась общей реализации системы доменных имен, а потому потребовала скоординированного действия всех разработчиков серверного программного обеспечения.

Владельцы Winodows-, Linux-, Unix- и Mac-серверов уже могли обратить внимание на то, что для их систем cо вчерашнего вечера доступна новая версия используемого DNS-сервера (например Bind). Выпустили обновления и крупные вендоры сетевого оборудования, такие как Cisco.

Ошибка, в результате которой пришлось "пропатчить интернет", на техническом сленге именуется, как "отравление DNS-кэша". На практике она позволяет подменить ряд записей в DNS-серерверах таким образом, что бы при наборе какого-либо привычного адреса сайта, пользователь отправлялся прямиком на сайт хакеров. Та же опасность касается и трафика электронной почты. Ситуация осложняется тем, что данный баг является в чистом виде серверным, а потому как-либо защититься от него с рабочего компьютера невозможно.

Данная фундаментальная уязвимость была обнаружена еще в прошлом году экспертом компании IO Active Дэном Камински, однако ввиду ее особой опасности сам Камински и IO Active предоставили данные о ней только легитимным разработчикам софта, а широкая общественность лишь знала о факте некой "серьезной" уязвимости в DNS.

На практике при помощи данной ошибки злоумышленник, при наличии определенных знаний и сноровки мог перенаправить весь трафик с какого-либо домена, например google.com, на сторонние серверы, в результате чего все закрытые данные, передаваемые легальному сайту, оказывались в полном распоряжении злоумышленников.

Сам Дэн Камински рассказывает, что когда ему удалось обнаружить указанную уязвимость, то вначале он сообщил об этом в листы рассылки US CERT (U.S. Computer Emergency Readiness Team), а также в несколько крупных компаний, производящих системное программное обеспечение. Понимая серьезность ситуации, все осведомленные стороны согласились держать имеющиеся у них данные в секрете. В итоге в марте этого года в штаб-квартире Microsoft состоялась встреча 16 ведущих мировых вендоров, где был выработан план по исправлению ошибки, а также утвержден график выпуска патчей или новых версий серверного ПО.

Вчера вечером Microsoft вместе с традиционным ежемесячным набором исправлений, выпускаемым в первый вторник каждого месяца, обновила систему управления доменными именами в серверных Windows. Свои патчи получили и пользователи оборудования Cisco. Также вчера на сайте Internet Systems Consortium была опубликована и новая версия системы Bind, одновременно с этим вышли новые версии этого пакета для крупнейших Linux-систем: Red Hat, Suse, Mandriva, Ubuntu и других.

Сам Камински говорит, что несмотря на серьезность ошибки, ему не удалось обнаружить в сети случаи использования данной проблемы. "Вендоры достигли соглашения, по которому изменения, внесенные с серверы, практически не затрагивают работу существующих инфраструктур, но минимизируют возможность использования уязвимости", - говорит он.

Несколько поясним суть ошибки. Вся работа глобальной сети фактически зависит от работы доменной системы. Основная задача системы доменных имен (DNS) заключается в преобразовании буквенных доменов в их числовые аналоги или ip-адреса. Система фактически работает в две стороны - то есть транслирует домены в ip-адреса и наоборот. В глобальной сети существуют около 200 000 средних и крупных DNS-серверов, обслуживающих миллионы пользователей однако вся доменная архитектура организована по цепочке, то есть разрешение имен идет от корневых серверов, но каждый DNS-сервер имеет свой головной сервер, с которого он получает необходимые для работы данные о доменах и ip-адресах.

Вот в этом-то механизме и кроется ошибка. Механизм передачи доменной информации и ее идентификация являются слабым звеном всей системы DNS. Подчиненный сервер не может определить, являются выданные на его запросы DNS-разрешения легальными данным с авторитативного сервера или это сгенерированные хакером поддельная информация. Для идентификации DNS-пакеты используют случайные идентификационные номера, но проблема в том, что этих "случайных" номеров, используемых как идентификаторы, всего 65 000. Более того, у каждого сервера есть определенная последовательность создания "случайных" запросов, поэтому злоумышленник может подделать "случайный номер" и подать DNS-серверу неверную информацию о доменах и соответствующих им адресах.

Старший программный менеджер Internet Systems Consortium Джоа Дамас говорит, что разработчикам DNS-серверов пришлось пересмотреть механизм генерации "случайных номеров", чтобы снять лимит в 65 000 последовательностей, а кроме того, добавить защитные механизмы, позволяющие серверу быстро "забыть" некорректные данные. Помимо этого, на сайте US CERT изложены и другие рекомендации по защите - http://www.us-cert.gov/current/index.ht ... e_to_cache

SecurityLab

[Auren]

Интересно было бы услышать, пропатчили ли свои Циски админы Теленета

[Neo]

Auren
Можно ли по-русски объяснить - в чем заключается опасность ?

[Auren]

Ну как же, это же вотчина для фишеров...
Злоумышленники, используя несовершенный механизм передачи данных между вышестоящими и нижестоящими DNS-серверами, могут подменить значение DNS-записи так, что ты, заходя на сайт mail.ru, будешь попадать не на 194.67.57.26, а на какой-нибудь 111.222.333.444, на котором вполне может быть поддельная копия этого mail.ru, введя данные в которую ты потеряешь их навсегда. Это лишь один из примеров. Куда хуже, если будет подделан сайт какого-то крупного банка...

[Auren]

Как и предполагалось, это не заняло много времени. Спустя две недели после обнаружения Дэном Каминским глобальной уязвимости в системе DNS опубликован первый реальный эксплоит, который использует эту дыру. Эксплоит позволяет модифицировать кэш DNS-сервера таким образом, что запросы к одному сайту перенаправляются на другой сайт незаметно для пользователя.

Новый код уже включён во вредоносный набор Metasploit — коллекцию инструментов для взлома и тестирования сайтов. Авторами эксплоита стали HD Moore (на фото), создатель Metasploit, а также хакер |)ruid.

Код можно посмотреть по этой ссылке.

В интервью прессе (по IM) автор экслоита HD Moore сказал, что программе требуется от одной до двух минут, чтобы внедрить запись в кэш DNS-сервер, это довольно долго, но он обещает оптимизировать программу ко второй версии.

Сам Дэн Камински говорит, что теоретически взломать DNS-сервер через эту дыру можно за несколько секунд.

Habrahabr

[AntropoCompus]

Эт на каком языке эксплоит? На бейсике, что ль?

[Auren]

REALbasic, судя по расширению.

[AntropoCompus]

Бгг, эксплойт на бейсике - это жесть, даже если это РЕАЛбейсик...

А сколько всего существует DNS-серверов?

[Auren]

Mr. Demetrius
http://ru.wikipedia.org/wiki/DNS-%D1%81 ... 0%B5%D1%80
http://ru.wikipedia.org/wiki/Root-servers.net

[AntropoCompus]

Ясно, спасибо.

[Auren]

Российский физик взломал пропатченный DNS

Российский физик Евгений Поляков взломал DNS-сервер, сообщает The New York Times. Произошло это после того, как была устранена уязвимость в DNS, обнаруженная экспертом по безопасности Дэном Камински (Dan Kaminsky) полгода назад.

Напомним, в начале июля несколько крупных IT-корпораций, в том числе Microsoft, Sun и Cisco, одновременно выпустили патч, исправляющий серьезную уязвимость в DNS - системе, ответственной за соответствие интернет-адресов доменным именам. Евгений Поляков смог обойти эту защиту и взломать DNS-сервер.

Информацию о том, как ему удалось это сделать, Поляков опубликовал в своем блоге. Ознакомившись с данными, эксперты пришли к выводу, что описанный метод взлома может быть успешно применен на практике.

По словам физика, для взлома системы ему потребовалось два компьютера, высокоскоростное подключение к DNS-серверу и десять часов свободного времени. При использовании более мощных ресурсов атака займет меньше времени.

Получив контроль над DNS-сервером, злоумышленники могут перенаправить трафик с любого веб-адреса на свои сервера. Кроме того, используя уязвимость, хакеры могут загружать на компьютер вредоносные программы.

Lenta.ru

Добавлено:
DNS наш, кстати, пропатчили:

Your name server, at 195.39.211.34, appears to be safe, but make sure the ports listed below aren't following an obvious pattern (:1001, :1002, :1003, or :30000, :30020, :30100...).