世界中で100万台以上のインターネット接続デバイスで使用されているDnsmasqは、それほど秘密ではない7つのなりすましやハイジャックの脆弱性を修正します。

dnsmasq として知られる一般的な DNS キャッシング プロキシおよび DHCP サーバーに 7 つの脆弱性が見つかり、ネットワーク デバイスに対する広範囲にわたるオンライン攻撃の可能性が高まっています。

DNSpooqと総称されるこれらの脆弱性は、イスラエルに拠点を置くセキュリティ企業JSOFによって、5ヶ月にわたる共同開示期間の終了に伴い、火曜日に公表されました。これらのバグは、シスコ、コムキャスト、グーグル、ネットギア、レッドハット、ユビキティを含む40社以上のITベンダーの製品や、主要なLinuxディストリビューションに影響を与えると考えられています。

JSOF の研究者は、3 つのキャッシュ ポイズニング バグ (CVE-2020-25686、CVE-2020-25684、CVE-2020-25685) と 4 つのバッファ オーバーフロー バグ (CVE-2020-25687、CVE-2020-25683、CVE-2020-25682、CVE-2020-25681) を特定しました。

オープンソース ソフトウェア開発者の Simon Kelley 氏が保守する Dnsmasq 2.83 は、セキュリティ研究者の Dan Kaminsky 氏が 2008 年に特定した DNS キャッシュ ポイズニングの脆弱性を思い起こさせる問題に対処するためにリリースされました。

2008年のこのバグにより、攻撃者は再帰ネームサーバーのキャッシュにデータを挿入し、偽のDNS応答を介してウェブユーザーを悪意のあるウェブサイトに誘導することが可能になりました。DNSpooqも同様で、偽のDNSレコードをdnsmasqキャッシュに追加することが可能で、その保存期間は長期間に及ぶ可能性があります。また、他にも考えられる悪質な行為が存在します。つまり、被害者は正規のウェブサイトやサービスだと思って接続したとしても、実際には別のサイトを装った悪意のあるマシンに接続しており、認証情報などの機密情報が盗まれる可能性があります。こうしたDNSスプーフィング攻撃には、HTTPSやSSHの使用など、防御策が存在します。

「大きく分けて2つの問題があります」と、ケリー氏はdnsmasqメーリングリストに送ったメールで述べています。「1つ目は、DNSプロトコルの慢性的な脆弱性であるキャッシュポイズニング攻撃（バースデー攻撃、カミンスキー攻撃など）に対するdnsmasqの保護機能に微妙な誤りがあることです。この問題の真の解決策はDNSSEC、つまりエンドポイント検証とドメインへの署名の両方であることを考えると、コードは今や可能な限り安全になっています。」

残念ながら、上記を踏まえると、2番目のエラーセットはdnsmasqのDNSSECコードにおける古き良きバッファオーバーフローです。DNSSEC検証が有効になっている場合、インストールは危険にさらされます。

3つのキャッシュポイズニング脆弱性は、DNSヘッダーと送信元ポートのTXID（トランザクションID）のエントロピー（ランダム性）を低下させることで機能します。攻撃者がTXIDと送信元ポートを推測できる場合、サーバーは攻撃者によるキャッシュの改ざんを許し、被害者を悪意のあるサーバーにリダイレクトする可能性があります。重大度の高いバッファオーバーフローは、dnsmasqがDNSSECを使用するように設定されている場合にリモートコード実行を許す可能性があり、重大度の低いオーバーフローは、DNSSECが有効になっている場合にサービス拒否攻撃に利用される可能性があります。

「これらの脆弱性の興味深い点の一つは、それぞれ単独では影響が限定的であるということだ」とJSOFは記事の中で説明している。

しかし、これらの脆弱性は特定の方法で組み合わせたり連鎖させたりすることで、非常に効果的な多段階攻撃を構築できる可能性があります。これは、一部の脆弱性を悪用することで、他の脆弱性を悪用しやすくなるためです。

JSOFによると、パブリックインターネット上には約100万台のdnsmasqサーバーが存在し、キャッシュポイズニングのリスクに加え、少なくとも1つの脆弱性はリモートコード実行に利用され、家庭用ルーターやその他のネットワーク機器を乗っ取られる可能性があります。また、これらのバグはワーム攻撃やDDoS攻撃にも利用される可能性があります。

脅威のシナリオとしては、インターネットアクセス可能なWANインターフェース経由でポート53をリッスンしているdnsmasqリゾルバ、または攻撃者が制御するローカルエリアネットワーク上のマシンを標的とすることが挙げられます。また、インターネット上にサーバーを持つ攻撃者が、SafariやChromeで攻撃者が制御するJavaScriptを使ってウェブサイトを閲覧しているLAN上のマシンに影響を与える可能性もあります。

JSOFは、今回の情報開示はCERT/CCを通じて調整されているため、影響を受けるベンダーがどのように、いつ対応するかは研究者には不明だと述べています。研究者らは、Red HatやUbuntuなどの主要なOSディストリビューターやベンダーがパッチを公開し、その後、他のベンダーがアップデートを公開すると予想しています。®