CVE-2020-1350 (SIGRed) - Exploit DoS du DNS Windows

Le crédit de ce bug revient entièrement à Check Point Research (@_cpresearch_) qui ont fait une analyse incroyable de ce bug (mention spéciale à @sagitz_ pour la publication) Leur analyse peut être consultée ici.

Cet exploit a été écrit par @maxpl0it

Résumé rapide de son fonctionnement :

1. Sur le LAN, vous déclenchez une requête DNS (plus précisément, une requête pour les enregistrements SIG) pour un domaine malveillant (par exemple 9.evil_domain.com)
2. Cette requête est envoyée au serveur DNS du serveur Windows vulnérable
3. Le serveur vulnérable envoie une requête au DNS auquel il transmet les requêtes (généralement les IP Google standard)
4. Le DNS de Google répond avec les serveurs de noms du domaine malveillant
5. Le serveur vulnérable agit ensuite comme un client DNS et envoie une requête au serveur DNS malveillant
6. Le serveur malveillant répond avec une charge utile qui provoque un débordement d'un nombre de 2 octets, entraînant une allocation plus petite que nécessaire
7. La signature est copiée et tout casse (bien sûr), ce qui provoque le crash du serveur DNS du serveur vulnérable

Configuration générale :

• Cet exploit nécessite de configurer un domaine avec ses propres serveurs de noms pointant vers votre serveur.
• Configurez le serveur et exécutez ce script. Il écoutera sur le port 53 à la fois en TCP et en UDP
• Si vous obtenez une erreur indiquant que les ports sont occupés, utilisez netstat -pa pour identifier ce qui écoute sur les ports du domaine (probablement systemd-resolved) et désactivez + arrêtez-le. Si rien n'écoute sur le serveur, assurez-vous d'avoir tué toutes les instances de ce script avant de relancer.

Par exemple, j'ai exécuté python sigred_dos.py ibrokethe.net pour démarrer le serveur DNS malveillant

Configuration de test :

Si vous avez accès au serveur Windows, vous pouvez configurer un redirecteur conditionnel pour pointer ibrokethe.net vers l'adresse IP de la machine exécutant le script. Cela permet de sauter efficacement les étapes 3 et 4 du résumé.

Exécution :

Afin de déclencher la vulnérabilité sur le serveur DNS Windows, exécutez nslookup -type=sig 9.your_domain_name_here dns_server_to_target Le sous-domaine '9' est effectivement requis ici. Vous n'avez pas besoin de modifier les enregistrements de domaine pour cela, car le script s'en charge.

Par exemple : j'ai exécuté nslookup -type=sig 9.ibrokethe.net 127.0.0.1 car j'exécutais ce script sur le serveur.