CVE-2020-1350 (SIGRed) - Exploração de DoS no DNS do Windows

Os créditos pela falha são inteiramente do Check Point Research (@_cpresearch_) que fez uma análise incrível dessa falha (créditos para @sagitz_ pelo post). A análise deles pode ser encontrada aqui.

Este exploit foi escrito por @maxpl0it

Resumo rápido de como funciona:

1. Na LAN, você dispara uma requisição DNS (mais especificamente, uma requisição pelos registros SIG) para um domínio malicioso (por exemplo, 9.evil_domain.com)
2. Isso é enviado para o servidor DNS vulnerável do Windows
3. O servidor vulnerável envia uma requisição para qualquer DNS para o qual ele encaminha requisições (normalmente os IPs padrão do Google)
4. O DNS do Google responde com os nameservers do domínio malicioso
5. O servidor vulnerável então age como um cliente DNS e envia uma requisição para o servidor DNS malicioso
6. O servidor malicioso responde com um payload que causa estouro em um número de 2 bytes, fazendo com que uma alocação menor do que a necessária seja feita
7. A assinatura é copiada e as coisas quebram (é claro), derrubando o servidor DNS vulnerável

Configuração Geral:

• Este exploit requer que você configure um domínio com seus próprios nameservers apontando para o seu servidor.
• Configure o servidor e execute este script. Ele escutará na porta 53 em TCP e UDP.
• Se você receber um erro dizendo que as portas estão ocupadas, use netstat -pa para descobrir o que está escutando nas portas do domínio (provavelmente systemd-resolved) e desabilite e pare o serviço. Se nada estiver escutando no servidor, certifique-se de ter encerrado todas as instâncias deste script antes de executá-lo novamente.

Por exemplo, executei python sigred_dos.py ibrokethe.net para iniciar o servidor DNS malicioso.

Configuração de Teste:

Se você tiver acesso ao servidor Windows, pode configurar um encaminhador condicional para apontar ibrokethe.net para o endereço IP do host que está executando o script. Isso efetivamente pula as etapas 3 e 4 do resumo.

Execução:

Para acionar a vulnerabilidade no servidor DNS do Windows, execute nslookup -type=sig 9.your_domain_name_here dns_server_to_target. O subdomínio '9' é de fato necessário aqui. Você não precisa fazer nenhuma alteração de registro de domínio para isso, pois o script lida com isso.

Como exemplo: executei nslookup -type=sig 9.ibrokethe.net 127.0.0.1 enquanto executava isso no servidor.