CVE-2020-1350 (SIGRed) - Exploit DoS per DNS Windows

I crediti per il bug sono interamente di Check Point Research (@_cpresearch_) che ha realizzato un'analisi incredibile di questo bug (complimenti a @sagitz_ per l'articolo) La loro analisi è disponibile qui.

Questo exploit è stato scritto da @maxpl0it

Breve riepilogo del funzionamento:

1. Sulla LAN si innesca una richiesta DNS (più specificamente, una richiesta per i record SIG) per un dominio malvagio (ad esempio 9.evil_domain.com)
2. Questa viene inviata al server DNS vulnerabile di Windows
3. Il server vulnerabile invia una richiesta al DNS a cui inoltra le richieste (di solito i classici IP Google)
4. Il DNS Google risponde con i nameserver per il dominio malvagio
5. Il server vulnerabile agisce quindi come client DNS e invia una richiesta al server DNS malvagio
6. Il server malvagio risponde con un payload che causa un overflow di un numero a 2 byte, provocando un'allocazione più piccola del necessario
7. La firma viene copiata e le cose si rompono (ovviamente), causando il crash del server DNS vulnerabile

Configurazione generale:

• Questo exploit richiede di configurare un dominio con i propri nameserver che puntano al proprio server.
• Configurare il server ed eseguire questo script. Ascolterà sulla porta 53 sia TCP che UDP.
• Se si riceve un errore che indica che le porte sono occupate, usare netstat -pa per identificare cosa sta ascoltando sulle porte del dominio (probabilmente systemd-resolved) e disabilitarlo + fermarlo. Se nulla è in ascolto sul server, assicurarsi di aver ucciso tutte le istanze di questo script prima di ri-eseguirlo.

Ad esempio, ho eseguito python sigred_dos.py ibrokethe.net per avviare il server DNS malvagio

Configurazione di test:

Se si ha accesso al server Windows, è possibile configurare un inoltro condizionale per puntare ibrokethe.net all'indirizzo IP dell'host che esegue lo script. Questo salta di fatto i passaggi 3 e 4 del riepilogo.

Esecuzione:

Per innescare la vulnerabilità sul server DNS Windows, eseguire nslookup -type=sig 9.nome_del_tuo_dominio_qui dns_server_da_colpire Il sottodominio '9' è effettivamente necessario qui. Non è necessario apportare modifiche ai record del dominio poiché lo script se ne occupa.

Come esempio: ho eseguito nslookup -type=sig 9.ibrokethe.net 127.0.0.1 mentre eseguivo questo script sul server.