深入分析Linux平台systemd漏洞导致的拒绝服务攻击

2017-12-04 7,452

本文翻译:mssp299

本文属于安全脉搏原创金币奖励计划

转载请参考:https://www.secpulse.com/archives/61458.html


原文链接:http://blog.trendmicro.com/trendlabs-security-intelligence/systemd-vulnerability-leads-to-denial-of-service-on-linux/


最近,安全研究人员在systemd中发现了一个漏洞,攻击者可以利用该漏洞对许多Linux发行版发动拒绝服务攻击。准确来说,该漏洞位于DNS解析器中。对于存在这种漏洞的系统,攻击者可以利用该漏洞让系统将DNS查询发送到处于攻击者控制之下的DNS服务器,之后,该DNS服务器会返回一个精心构造的查询,导致systemd陷入无限循环,从而将系统的CPU使用率固定为100%。这个漏洞对应的编号为CVE-2017-15908。 


实际上,为了让用户查询处于攻击者控制下的DNS服务器,攻击者可选的方法有很多,但最简单的方法是让用户的系统访问攻击者控制下的域名。为此,可以通过恶意软件或社会工程来实现。


解决这个安全威胁最有效的方法就是修复系统中的潜在漏洞。今年7月,我们首先发现了这个漏洞,并在同月通过“零日计划”(ZDI)向相应的供应商提交了报告。在今年10月,有位独立研究人员也发现了这个漏洞,并将其报告给了Canonical。在10月底,补丁被推广到各种Linux发行版,如Ubuntu等。幸运的是,目前还没有发现针对这个漏洞的在野攻击。


漏洞分析


随着时间的推移,新的功能被不断加入到DNS中,其中有些是用于增加新特性的,同时有些是为了提高其安全性的。例如,DNS安全扩展(DNSSEC)中添加了一种新类型的资源记录,即NSEC(Next Secure)记录(具体定义请参考RFC 4034)。


该漏洞出现在处理表示NSEC位图中的伪类型的相关位的过程中。下图显示了相应的代码段和堆栈帧。其中,高亮显示的"continue"行表明“while循环”从此进入了无限循环。dns_packet_read_type_window()的具体实现位于文件resolved-dns-packet.c中。 


1512352675(1).png

图1 无限循环的源代码和堆栈帧


请注意,当记录类型为DNS_TYPE_NSEC时,将从dns_packet_read_rr()中调用上面的dns_packet_read_type_window()函数。下图展示了resolve-dns-packet.c文件中与dns_packet_read_rr()函数相关的代码。


image.png

图2.读取DNS数据包的源代码


POC代码


为了测试这个漏洞,我们创建了一个定制的DNS服务器,它将返回精心制作的“恶意”响应。这个响应包含了一个旨在触发这个漏洞的NSEC记录,具体如下所示:


image.png

图3 精心制作的DNS响应的数据包


一旦运行systemd的系统使用它来进行DNS解析,就会收到这个精心制作的DNS数据包,这时,系统CPU的利用率将蹿升至100%,具体如下所示:

image.png

图4 被撑爆的CPU利用率


缓解措施


 正如我们前面提到的,修复该漏洞的安全补丁已经发布。我们建议,尽快给存在这种安全风险的系统打上相应的补丁。

系统管理员也可以选择手动阻止潜在的恶意数据包。具体来说,检查传入的DNS响应是否包含RFC 4034第4节中规定的资源记录。

监视传入的DNS响应流量,并检测应答部分中的DNS RR是否包含(定义NSEC RR的)RFC 4034第4节中规定的DNS和类型记录。如果附加的位图被处理并且包含伪类型,则应该加以拒绝。 

本文作者:mssp299

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/66130.html

Tags:
评论  (0)
快来写下你的想法吧!

mssp299

文章数:51 积分: 662

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号