CVE-2020-1350 Exploit PoC de Déni de Service SIGRed

Ce dépôt contient ma version d'un exploit PoC de déni de service pour la vulnérabilité SIGRed divulguée par Microsoft et Check Point Research le 14 juillet 2020.

@maxpl0it a également écrit un PoC qu'il a publié le 15 juillet, mais j'ai structuré mon exploit un peu différemment, donc j'ai pensé qu'il présentait toujours de la valeur de le publier pour les blue teams afin d'améliorer leurs capacités de détection et de fournir une autre donnée à tester.

Ce dépôt contient également un PCAP montrant à quoi ressemble cet exploit sur le réseau.

Environnement de laboratoire

J'ai essayé de monter les domaines nécessaires pour le faire publiquement, mais j'ai eu quelques problèmes pour synchroniser les enregistrements NS, donc je l'ai configuré en interne dans le service DNS. Pour autant que je sache, cela ne devrait pas affecter l'efficacité de l'exploit.

• Ajoutez une entrée dans le fichier hosts pour votre serveur DNS malveillant (par exemple dnsexploitvm.lan dans C:\Windows\System32\drivers\etc\hosts)
• Configurez une VM Windows Server avec le rôle DNS
• Ajoutez une nouvelle zone pour un TLD (j'ai utilisé lol parce que je ne me souciais pas de détourner ce TLD localement)
• Changez le NS et le SOA de ce domaine pour votre serveur DNS malveillant (le SOA n'est peut-être pas nécessaire)
• Ajoutez une nouvelle zone déléguée dans votre TLD (par exemple hax.lol), et définissez le NS comme votre serveur DNS malveillant

Exécution de l'exploit

Avant d'exécuter le script, assurez-vous de définir le tuple DNS_SERVER_ADDR en haut du script avec votre adresse IP appropriée, et installez les dépendances (dnspython)

Ensuite, exécutez le script (Python 3 uniquement) :

$ sudo ./cve-2020-1350-dos.py [serveur DNS victime] [enregistrement DNS]

J'ai effectué mes tests avec 9.hax.lol, et cela a été assez fiable. Les noms de domaine plus longs et les enregistrements avec de nombreuses étiquettes ne fonctionnent pas aussi bien.

Exemple de sortie du script :

$ sudo ./exploit.py 192.168.117.36 9.hax.lol
UDP server waiting for connection
TCP server waiting for connection
making DNS SIG request to 192.168.117.36: 9.hax.lol
got UDP connection from 192.168.117.36:54721
sending UDP response (len=27)
got TCP connection from 192.168.117.36:49804
sending TCP response (len=65523)

Quelques points étranges à noter :

• Vous devrez peut-être exécuter le script deux fois
• Le script peut laisser des connexions TCP pendantes avec le serveur DNS victime, je pense à cause de la manière dont le service DNS plante. Si vous trouvez comment résoudre ce problème, veuillez me contacter sur Twitter (@captainGeech42) ou soumettre une PR.

Crédits

• La vulnérabilité originale exploitée ici a été découverte par Check Point Research
• J'ai également consulté le PoC de @maxpl0it pour accélérer le débogage d'un problème avec mon exploit