
以色列安全咨询公司JSOF今天披露了七个Dnsmasq漏洞(统称为DNSpooq),可利用该漏洞对数百万受影响的设备发起DNS缓存中毒,远程执行代码和拒绝服务攻击。
Dnsmasq 是一种经常使用的流行且开放源代码的域名系统(DNS)转发软件,它向物联网(IoT)和其他各种嵌入式设备添加了DNS缓存和动态主机配置协议(DHCP)服务器功能。
尚不知道在其设备上使用容易受到DNSpooq攻击的Dnsmasq版本的所有公司的完整编号或名称。
但是,JSOF在其咨询中着重列出了40个供应商,其中包括Android / Google,Comcast,Cisco,Redhat,Netgear,高通,Linksys,Netgear,IBM,D-Link,Dell,Huawei和Ubiquiti。
DNSpooq漏洞的背后
DNSpooq漏洞中的三个(跟踪为CVE-2020-25686,CVE-2020-25684,CVE-2020-25685)允许两种DNS缓存中毒攻击(也称为DNS欺骗)。
DNS缓存中毒是一种攻击方法,允许威胁行为者以自己选择的方式替换设备上的合法DNS记录。
使用此攻击,威胁行为者可以将用户重定向到他们控制下的恶意服务器,而将访问者重定向到访问者,就好像他们正在访问合法站点一样。
这使攻击者可以执行网络钓鱼攻击,凭据盗窃或散布被认为是受信任公司的恶意软件。
安全研究员Dan Kaminsky在2008年披露了第一个DNS欺骗攻击,当时他证明可以利用DNS软件窃取数据并假冒任何网站名称。

JSOF的报告解释说: “可能被破坏的流量包括常规的Internet浏览以及其他类型的流量,例如电子邮件,SSH,远程桌面,RDP视频和语音呼叫,软件更新等等 。”
假想的攻击场景还包括JavaScript推动的分布式拒绝服务(DDoS),反向DDOS和针对定期切换网络的移动设备的可蠕虫攻击。
其余漏洞被跟踪为CVE-2020-25687,CVE-2020-25683,CVE-2020-25682和CVE-2020-25681的缓冲区溢出漏洞,当配置了Dnsmasq时,它们可能使攻击者在易受攻击的网络设备上远程执行任意代码使用DNSSEC。
暴露了超过一百万个易受攻击的设备
利用DNSpooq安全漏洞的攻击非常容易实施,不需要任何异常的技术或工具。
JSOF的技术白皮书说: “攻击可以在几秒钟或几分钟内成功完成,并且没有特殊要求 。”
“我们还发现,许多dnsmasq实例配置错误,无法在WAN接口上侦听,从而可以直接从Internet进行攻击。”
根据Shodan的说法 ,目前Internet上有超过100万个Dnsmasq服务器公开,根据BinaryEdge的数据,目前有63万多个服务器,以及数百万其他路由器,VPN,智能手机,平板电脑,信息娱乐系统,调制解调器,接入点,无人机和类似设备,互联网也容易受到攻击。
“某些DNSpooq漏洞会导致DNS缓存中毒,而其中一个DNSpooq漏洞可能会导致潜在的远程执行代码,从而可能接管许多品牌的家用路由器和其他网络设备,从而影响数百万台设备,甚至超过一百万实例直接暴露给Internet。” JSOF说。
缓解措施
为了完全缓解尝试利用DNSpooq漏洞的攻击,JSOF建议将Dnsmasq软件更新到最新版本(2.83或更高版本)。
JSOF还为无法立即更新Dnsmasq的用户提供了(部分)解决方法的列表:
- 如果您的环境中没有必要,请将dnsmasq配置为不侦听WAN接口。
- 使用选项–dns-forward-max =减少允许转发的最大查询数。默认值为150,但是可以降低它。
- 暂时禁用DNSSEC验证选项,直到获得补丁为止。
- 使用为DNS提供传输安全性的协议(例如DoT或DoH)。这将减轻Dnspooq的负担,但可能会带来其他安全性和隐私问题。在执行此操作之前,请考虑您自己的设置,安全目标和风险。
- 减少EDNS邮件的最大大小可能会缓解某些漏洞。但是,这尚未经过测试,违背了相关RFC5625的建议。
去年,JSOF还 从Treck的专有TCP / IP堆栈中披露了19个名为Ripple20的漏洞的集合,这些漏洞已在各个行业的数亿个嵌入式设备中使用。
*编译:Domino
*来自:bleepingcomputer