Уязвимость DNSSEC позволяет одним пакетом вырубить резолвер на 16 часов

Уязвимость DNSSEC позволяет одним пакетом вырубить резолвер на 16 часов

Уязвимость DNSSEC позволяет одним пакетом вырубить резолвер на 16 часов

На сервере DNS, выполняющем валидацию по DNSSEC, можно вызвать состояние отказа в обслуживании (DoS) с помощью вредоносного пакета. Германские ученые разработали PoC-атаку, позволяющую подвесить резолвер и закрыть клиентам доступ к сайтам на 16 часов.

Угроза, нареченная KeyTrap, актуальна также для публичных DNS-сервисов вроде тех, что предоставляют Google и Cloudflare, и была зарегистрирована как уязвимость под идентификатором CVE-2023-50387 (7,5 балла CVSS).

Все началось с того, что специалисты исследовательского центра Дармштадта, занимающегося прикладными аспектами ИБ, обнаружили в спецификациях DNSSEC от 1999 года (RFC 2535) изъян, перекочевавший в более поздние версии в виде требований по реализации защитного протокола. Там сказано:

«Сервер имен должен отдавать все наличные криптографические материалы, а резолвер — использовать все, что прислано, пока проверка соответствия не окончится успехом».

Отсюда можно сделать вывод, что резолвер, использующий DNSSEC, можно спровоцировать на контакт с сервером, отдающим вредоносный ответ — набор ресурсных записей (RR), валидация которых создает перегрузки по CPU. Таким образом, злоумышленник сможет временно вывести резолвер из строя; тесты показали, что период отказа может составлять от трех минут до 16 часов — зависит от софта, используемого мишенью.

В итоге пострадают не только пользователи, потерявшие доступ к веб-контенту, но также такие сервисы, как защита от спама, PKI, обеспечение безопасности маршрутизации (RPKI). По данным исследователей, в настоящее время DNSSEC-резолвинг используют 31% веб-клиентов в интернете, и атака KeyTrap может обернуться для них большой проблемой (обитатели рунета теперь знают об этом не понаслышке).

Все затронутые вендоры профильного софта и операторы популярных публичных DNS-сервисов уже поставлены в известность и пытаются смягчить ситуацию с помощью патчей, однако они могут лишь поддержать работоспособность резолверов при полной загрузке CPU. Полное устранение выявленной уязвимости, по мнению исследователей, потребует пересмотра стандарта DNSSEC.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

WAF-защиту Azure, Cloudflare, Google Cloud можно обойти 1207 способами

Команда исследователей из Северо-Восточного университета и Дартмутского колледжа разработала новый метод обхода фильтров WAF, который использует различия в парсинге HTTP-запросов на файрволах и защищаемых веб-серверах.

Традиционные способы обхода WAF полагаются на обфускацию вредоносной полезной нагрузки. Авторы PoC-атаки WAFFLED не стали трогать пейлоад и сосредоточились на невинных элементах контента — заголовках, сегментах тела запроса.

Для манипуляций были выбраны три широко используемых типа содержимого: multipart/form-data, application/xml и application/json.

Экспериментаторы изменяли набор символов для составного контента, значения параметров boundary и namespace, XML-схемы, декларации DOCTYPE, разделы CDATA, форматирование и вложенные структуры в JSON-объектах, стараясь ввести в заблуждение WAF, но так, чтобы атакуемый сервер при этом смог распарсить пробивший фильтры вредоносный запрос без проблем.

Всего в ходе исследования было обнаружено 1207 вариантов обхода WAF, с помощью которого злоумышленник может получить доступ к конфиденциальным данным. Подобные атаки известны как HTTP request smuggling (HRS).

 

Как оказалось, обход по методу WAFFLED составляет угрозу для четырех из пяти испытанных защитных продуктов (AWS WAF, Microsoft Azure WAF, Google Cloud Armor, Cloudflare WAF и ModSecurity, встроенный в nginx).

Тестирование проводилось в комбинации с веб-приложениями на основе популярных фреймворков, таких как Flask, FastAPI, Gin, Express, Spring Boot, Laravel. Проверка в полевых условиях показала: HRS из-за разницы в интерпретации HTTP-запросов актуален для 90% сайтов.

 

Ознакомившись с результатами исследования, Google признала наличие проблемы, заявила, что будет решать ее в приоритетном порядке, и выплатила вознаграждение. В Cloudflare тоже готовят фикс, Microsoft и ModSecurity-сообщество обновили наборы правил.

По мнению университетских исследователей, от таких уязвимостей избавиться не так уж сложно, главное — неукоснительно следовать рекомендациям RFC. В подтверждение своих слов авторы WAFFLED создали опенсорсный инструмент-прокси, который тщательно проверяет HTTP-запросы и приводит их в соответствие текущим стандартам RFC до передачи на WAF.

Тестирование HTTP-Normalizer показало, что он способен блокировать попытки обхода по методу WAFFLED с эффективностью 100%. Накладные расходы при этом ничтожны.

Тем, кто не в состоянии развернуть дополнительный прокси, советуют установить новейшие наборы правил (Azure DRS 2.1, ModSecurity CRS 3.3), по возможности исключить экзотические типы содержимого и ужесточить проверку заголовков Content-Type, Content-Length и Transfer-Encoding на уровне WAF и приложений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru