Exploit PoC de denegación de servicio SIGRed CVE-2020-1350

Este repositorio contiene mi versión de un exploit PoC de DoS para la vulnerabilidad SIGRed revelada por Microsoft y Check Point Research el 14 de julio de 2020.

@maxpl0it también escribió un PoC que publicó el 15 de julio, pero estructuré mi exploit de manera un poco diferente a la de ellos, así que pensé que aún tenía valor publicar esto para que los blue teams aumenten sus capacidades de detección y tengan otra pieza de datos con la que probar.

Este repositorio también incluye un PCAP de cómo se ve este exploit en la red.

Entorno de laboratorio

Intenté montar los dominios necesarios para hacer esto públicamente, pero tuve algunos problemas para lograr que los registros NS sincronizaran correctamente, así que lo configuré internamente en el Servicio DNS. Hasta donde sé, esto no debería afectar la eficacia del exploit.

• Añade una entrada al archivo hosts para tu servidor DNS rogue (p. ej. dnsexploitvm.lan en C:\Windows\System32\drivers\etc\hosts)
• Configura una VM de Windows Server con el rol de DNS
• Añade una nueva zona para un TLD (usé lol porque no me importaba secuestrar ese TLD localmente)
• Cambia los registros NS y SOA de ese dominio a tu servidor DNS rogue (el SOA podría no ser necesario)
• Añade una nueva zona delegada en tu TLD (p. ej. hax.lol) y establece el NS como tu servidor DNS rogue

Ejecutando el exploit

Antes de ejecutar el script, asegúrate de configurar la tupla DNS_SERVER_ADDR en la parte superior del script con tu dirección IP correspondiente, e instala las dependencias (dnspython)

Luego, ejecuta el script (solo Python 3):

$ sudo ./cve-2020-1350-dos.py [victim DNS server] [DNS record]

Hice mis pruebas con 9.hax.lol, y ha sido bastante fiable. Los nombres de dominio más largos y los registros con muchas etiquetas no funcionan tan bien.

Ejemplo de salida del script:

$ sudo ./exploit.py 192.168.117.36 9.hax.lol
UDP server waiting for connection
TCP server waiting for connection
making DNS SIG request to 192.168.117.36: 9.hax.lol
got UDP connection from 192.168.117.36:54721
sending UDP response (len=27)
got TCP connection from 192.168.117.36:49804
sending TCP response (len=65523)

Un par de cosas raras a tener en cuenta:

• Puede que necesites ejecutar el script dos veces
• El script puede dejar algunas conexiones TCP colgadas con el servidor DNS víctima, creo que debido a cómo se está cayendo el servicio DNS. Si averiguas cómo solucionarlo, por favor escríbeme en Twitter (@captainGeech42) o envía un PR.

Créditos

• La vulnerabilidad original que se explota aquí fue descubierta por Check Point Research
• También hice referencia al POC de @maxpl0it para acelerar la depuración de un problema con mi exploit