CVE-2020-1350 (SIGRed) - Windows DNS DoS エクスプロイト

このバグの功績はすべて Check Point Research (@_cpresearch_) によるものです。彼らはこのバグについて素晴らしい解説記事を書きました（投稿については @sagitz_ に敬意を表します）。彼らの解説記事はここにあります。

このエクスプロイトは @maxpl0it によって書かれました。

動作の概要:

1. LAN上で、悪意のあるドメイン（例: 9.evil_domain.com）に対するDNSリクエスト（より具体的にはSIGレコードのリクエスト）をトリガーします。
2. これは脆弱なWindowsサーバーのDNSサーバーに送信されます。
3. 脆弱なサーバーは、リクエストを転送するDNS（通常は標準のGoogle IP）にリクエストを送信します。
4. Google DNSは、悪意のあるドメインのネームサーバーで応答します。
5. 次に脆弱なサーバーはDNSクライアントとして動作し、悪意のあるDNSサーバーにリクエストを送信します。
6. 悪意のあるサーバーは、2バイトの数値をオーバーフローさせるペイロードで応答し、必要とされるよりも小さい割り当てが発生します。
7. シグネチャがコピーされ、（当然ながら）問題が発生し、脆弱なサーバーのDNSサーバーがクラッシュします。

一般的なセットアップ:

• このエクスプロイトを使用するには、独自のネームサーバーが自分のサーバーを指すように設定したドメインが必要です。
• サーバーをセットアップし、このスクリプトを実行します。TCPとUDPの両方でポート53をリッスンします。
• ポートがビジーであるというエラーが表示された場合は、netstat -pa を使用してドメインのポートをリッスンしているものを特定し（おそらく systemd-resolved）、それを無効にして停止してください。サーバー上で何もリッスンしていない場合は、再実行する前にこのスクリプトのすべてのインスタンスを終了したことを確認してください。

例えば、悪意のあるDNSサーバーを起動するために、python sigred_dos.py ibrokethe.net を実行しました。

テストセットアップ:

Windowsサーバーにアクセスできる場合は、条件付きフォワーダーを構成して、ibrokethe.net をスクリプトを実行しているホストのIPアドレスにポイントさせることができます。これにより、要約のステップ3と4が実質的にスキップされます。

実行:

Windows DNSサーバーで脆弱性をトリガーするには、nslookup -type=sig 9.your_domain_name_here dns_server_to_target を実行します。 ここでは実際にサブドメイン '9' が必要です。スクリプトが処理するため、このためにドメインレコードを変更する必要はありません。

例として、サーバー上でこれを実行していたとき、nslookup -type=sig 9.ibrokethe.net 127.0.0.1 を実行しました。