 |
|
A Rede | Serviços | Operação | Segurança | P&D | Capacitação | Eventos |
 | Alerta do CAIS ALR-19112002Vulnerabilidade no controle de envio de requisições do BIND versões 4 e 8 permite DNS Spoofing [CAIS, 19.11.2002, revisão 01] créditos: Vagner Sacramento, DIMAp-UFRN 1. Resumo O CAIS/RNP em conjunto com Vagner Sacramento do DIMAp-UFRN, realizaram experimentos com várias versões do Internet Software Consortium's (ISC) Berkeley Internet Name Domain (BIND), certificando a possibilidade de implementação de ataques remotos de DNS Spoofing nas versões 4 e 8. A aplicação BIND é a implementação do protocolo Domain Name System DNS, mantida pelo ISC. Esta aplicação é utilizada para traduzir os diversos nomes de domínios existentes para os seus respectivos endereços IP e traduzir os endereços IP para os seus respectivos nomes, atendendo requisições de clientes DNS na porta cinqüenta e três (53). A vulnerabilidade identificada apresenta sérias conseqüências para o funcionamento dos serviços básicos da Internet, pois grande parcela deles depende diretamente do DNS para desempenhar suas funcionalidades. Ressalta-se que a grande maioria dos servidores DNS na Internet utilizam o BIND. Recentes informações obtidas junto a Bill Manning da USC/ISI, indicam que mais de 60% dos atuais servidores DNS ainda usam versões antigas e vulneráveis do BIND. O problema relatado neste alerta trata da constatação de que as versões 4 e 8 do BIND não inibem o envio de duas ou mais requisições para a resolução do mesmo nome de domínio, possibilitando que ataques de DNS Spoofing sejam aplicados com alto percentual de sucesso. 2. Detalhes As versões 4 e 8 do BIND, apresentam facilidades que permitem ataques remotos de DNS Spoofing contra servidores DNS. O ataque tem o objetivo de antecipar uma resposta com informações falsas para o servidor DNS vítima, fazendo com que ele armazene em cache um endereço IP falso para um determinado nome de domínio. Para entender melhor a vulnerabilidade identificada, considere o cenário descrito a seguir. Quando n clientes DNS diferentes enviam, simultaneamente, requisições para um servidor DNS vítima, executando BIND 4 ou BIND 8, na tentativa de resolver o mesmo nome de domínio, o servidor vítima irá então, encaminhar todas as requisições recebidas para servidores DNS na Internet, procedendo com a consulta a partir dos root-servers, como de praxe, na tentativa de encontrar as respostas para cada uma das requisições. Neste contexto, a vulnerabilidade identificada pode ser explorada se um atacante enviar para o servidor DNS vítima, n requisições simultaneamente, utilizando em cada uma delas, endereços IP de origem diferentes e o mesmo nome de domínio. A partir de então, o servidor DNS vítima irá enviar todas requisições recebidas para servidores DNS na Internet, na tentativa de resolvê-las. Tais requisições são tratadas de forma independente, sendo portanto associado a cada uma delas, um identificador (ID) diferente. Conseqüentemente, este servidor estará aguardando n respostas com diferentes IDs para a resolução do mesmo nome de domínio. O atacante então, envia algumas dezenas de respostas com diferentes IDs para o servidor DNS vítima, na tentativa de acertar uma das respostas esperadas por este, aplicando desta forma o ataque de DNS Spoofing. A probabilidade de sucesso na implementação de ataques de DNS Spoofing no BIND 4 e BIND 8 está associada a equação: n-request-sent/65535, onde n-request-sent é o número de requisições enviadas simultaneamente ao servidor DNS vítima. 3. Impacto O funcionamento da maioria dos serviços na Internet, depende do bom funcionamento dos servidores DNS. Outros serviços podem ser afetados, caso as vulnerabilidades associadas ao serviço DNS sejam exploradas com sucesso. Através de um ataque de DNS spoofing, o atacante pode conduzir um ataque de DoS ou ainda se fazer passar por uma entidade confiável. O atacante poderá injetar uma informação falsa no cache do servidor DNS, mapeando um nome de domínio qualquer para o endereço IP que desejar. Algumas conseqüências diretas de ataques de DNS Spoofing são:
4. Sistemas Afetados São afetados todos os servidores de DNS que executam as seguintes versões do ISC BIND: · 4.9.11 and prior (4.9.x); 5. Correções Recomenda-se fazer a atualização do BIND para a versão 9.2.1, disponível em: http://www.isc.org/products/BIND/bind9.html 6. Ações Recomendadas Algumas recomendações adicionais pertinentes com relação a segurança de servidores DNS, são: 7. Referências [1] Internet Software Consortium; 8. Agradecimentos A Vagner Sacramento, que identificou a vulnerabilidade tratada neste alerta durante sua pesquisa de mestrado desenvolvida no DIMAp/UFRN sob a orientação da Prof.a Thais Vasconcelos Batista e do Prof. Guido Lemos de Souza Filho. A Thiago Alves da Silva, pelo suporte aos testes realizados no CAIS |  Assinatura dos Alertas do CAIS Assine a lista de alertas do CAIS e receba antecipadamente, por correio eletrônico, as mais recentes notificações sobre segurança em redes e sistemas. Formulário de assinatura dos Alertas do CAIS
Contato com o Cais: +55 (19) 3787-3300 |
