CVE-2022-34294

DNS cache poisoning w totd 1.5.3 — stały port źródłowy UDP

CVSS 9.8v3.1pub. 2022-08-15upd. 2024-11-21

Oprogramowanie totd 1.5.3 używa stałego portu źródłowego UDP podczas wysyłania zapytań do resolverów DNS, co drastycznie redukuje entropię i umożliwia atak DNS cache poisoning. Podatność pozwala atakującemu zdalnie, bez uwierzytelnienia, wstrzyknąć fałszywe odpowiedzi DNS do pamięci podręcznej.

▸ Pokaż oryginał (EN)

totd 1.5.3 uses a fixed UDP source port in upstream queries sent to DNS resolvers. This allows DNS cache poisoning because there is not enough entropy to prevent traffic injection attacks.

🤖 Analiza AI

Jak działa

Resolver totd zamiast losować port źródłowy UDP dla każdego zapytania do nadrzędnego serwera DNS, używa stałego, przewidywalnego portu. Zgodnie z koncepcją opisaną przez Dana Kaminskiego, brak randomizacji portu źródłowego (SRPT — Source Port Randomization) drastycznie zmniejsza przestrzeń losowości potrzebną do sfałszowania odpowiedzi DNS. Atakujący może przeprowadzić atak typu traffic injection, zgadując wymagany identyfikator transakcji i odpowiadając na zapytanie przed legalnym resolverem, co prowadzi do zatrucia pamięci podręcznej DNS (DNS cache poisoning).

Skutki

Atakujący może zdalnie wstrzyknąć fałszywe rekordy DNS do pamięci podręcznej resolwera, przekierowując ruch użytkowników na kontrolowane przez siebie serwery (np. w celu phishingu, przechwycenia sesji lub dystrybucji złośliwego oprogramowania).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu pod adresem https://github.com/fwdillema/totd oraz wdrożenie wersji zawierającej randomizację portu źródłowego UDP. Jako środek uzupełniający należy rozważyć zastąpienie totd innym resolverem DNS wspierającym pełną randomizację portów źródłowych.

Kogo dotyczy

totd w wersji 1.5.3 (projekt Totd Project Totd)

Uwagi

Podatność jest powiązana z klasycznym atakiem Kaminskiego z 2008 roku oraz nowszymi badaniami prezentowanymi na USENIX Security 2022 dotyczącymi ataków na infrastrukturę DNS. Referencje w opisie wskazują na te publikacje jako podstawę naukową zgłoszenia.