CVE-Datenbank

Neue Schwachstellen zum Starten von Angriffen auf die algorithmische Komplexität von DNSSEC wurden unter dem Begriff „ReTrap“ erforscht. Diese führen zu einer Beeinträchtigung des Dienstes, wenn bösartige Zonen zur Bereitstellung der Schwachstellen hinsichtlich der algorithmischen Komplexität verwendet werden. NLnet Labs Unbound bis einschließlich 1.26.0 ist für einige davon anfällig. TagTrap, bei dem der Abgleichmechanismus triple(Zone, Algo, KeyTag) einen erheblichen Angriffsvektor einführt, wenn Resolver bösartige Antworten verarbeiten, die zahlreiche nicht übereinstimmende DNSKEY-, RRSIG- und DS-Records enthalten. DelegationTrap, bei dem der Aufbau der Vertrauenskette eine iterative Validierung von DNSKEY- und DS-Records von der Root-Zone abwärts erfordert. Bei tief verschachtelten Domains führt dies zu einem erheblichen Rechenaufwand. NsecTrap, bei dem Antworten mit übermäßig vielen ungültigen NSEC-Records den Resolver dazu zwingen, jeden einzelnen zu validieren. AdditionalTrap, bei dem Unbound standardmäßig versuchen würde, auch den ADDITIONAL-Abschnitt per DNSSEC zu validieren. Dies kann von bösartigen Benutzern ausgenutzt werden, um Validierungsressourcen zu verschwenden.

NLnet Labs Unbound 1.12.0 bis einschließlich 1.26.0 weist eine Use-after-free-Schwachstelle auf, wenn es mit Unterstützung für DNS-over-HTTPs und mit „--with-libnghttp2“ kompiliert wurde. Während Fehlercodepfaden (d. h. beim Verwerfen einer Abfrage durch RPZ oder beim Jostling aufgrund von starkem Datenverkehr) beendet ein verworfener DoH-Stream die gesamte DoH-Sitzung und berücksichtigt andere DoH-Streams in derselben Sitzung nicht ordnungsgemäß. Dies führt in diesen Codepfaden zu Use-after-free. Wenn die Voraussetzungen erfüllt sind (mögliches Verwerfen durch RPZ oder hoher Client-Datenverkehr), kann ein böswilliger Akteur die Schwachstelle mit einer einzigen DoH-Verbindung und dem entsprechenden Datenverkehr auslösen. Die Auswirkungen sind begrenzt, da die Lesevorgänge nicht benutzergesteuert sind und Use-after-free zu vorzeitigen Rückgaben führt. Ein gehärteter Allokator kann Use-after-free jedoch erkennen und den Prozess kontrolliert beenden, was zu einer Verweigerung des Dienstes führt.

In NLnet Labs Unbound bis einschließlich 1.26.0 wurde eine Schwachstelle gefunden, die den Heap-Speicher zunehmend beschädigen kann und unter bestimmten Systemen und Kompilierungsoptionen zur Ausführung von Code aus der Ferne führen könnte. Die Schwachstelle beginnt, wenn die CNAME-Synthese während einer Upstream-Antwort einen maximalen TTL-Wert im Paketpuffer erzwingen (umschreiben) muss. In Verbindung mit einem Komprimierungszeiger, der auf den überschriebenen Wert zeigt und den Domainnamen ungültig macht, führt dies zu einem Fehlerpfad, der die Pufferposition nicht ordnungsgemäß verschiebt und einen Heap-Pufferüberlauf ermöglicht. Da dies stark vom Layout des Heap-Speichers abhängt, ist das Ergebnis eine Speicherbeschädigung, die schließlich zu einem Absturz und unter bestimmten Systemen und Kompilierungsoptionen zur Ausführung von Code aus der Ferne führt.

In NLnet Labs Unbound bis einschließlich 1.26.0 wurde eine Schwachstelle im DNSSEC-Validator gefunden, die Denial of Service und möglicherweise Remote Code Execution infolge des Hashens von DNSKEYs ermöglicht. Ein DNSKEY mit einem Owner-Komprimierungszeiger auf seine eigenen RDATA kann einen Buffer Overflow im Digest-Puffer verursachen. Remote Code Execution ist durch vom Angreifer kontrollierte Daten möglich. Ein Angreifer kann die Schwachstelle ausnutzen, indem er eine bösartige Zone kontrolliert und einen verwundbaren Unbound abfragt.

In NLnet Labs Unbound bis einschließlich 1.26.0 kann ein Abfragename mit einer Länge von 255 bei einer großen TCP-Antwort während der RRSet-Kanonisierung zu einem Heap-Buffer-Overflow führen. Dies wird dadurch verursacht, dass der erste Eigentümername nicht in die Prüfung der Pufferlänge einbezogen wird. Ein böswilliger Akteur, der einen bösartigen Nameserver betreibt oder eine eingehende Antwort an Unbound manipuliert (die Kanonisierung erfolgt vor der DNSSEC-Validierung), kann die Schwachstelle auslösen.

In NLnetLabs Unbound bis einschließlich 1.26.0 besteht eine Denial-of-Service-Schwachstelle im TCP/DoT-Leseverfahren, bei dem keine Begrenzung für aufeinanderfolgende Lesevorgänge besteht. Ein böswilliger Akteur, der über die TCP/DoT-Verbindung einen Strom verschiedener, nicht zwischengespeicherter Namen mit gleichbleibender Rate aufrechterhalten kann, monopolisiert die gesamte Ereignisschleife eines einzelnen Workers, solange seine Schreibvorgänge dem Leeren vorausbleiben.

NLnet Labs Unbound 1.22.0 bis einschließlich 1.26.1 weist eine Use-after-free-Schwachstelle auf, wenn es mit Unterstützung für DNS-over-QUIC und '--with-libngtcp2' kompiliert wird. Jeder DoQ-Stream besitzt einen Ausgabepuffer, der die DNS-Antwort enthält. Der Retransmission-Puffer von ngtcp2 behält einen flachen Zeiger in den Ausgabepuffer, solange ein STREAM-Frame erneut gesendet werden kann. Bei einem RESET_STREAM durch den Client wird der Ausgabepuffer freigegeben, ngtcp2 hält jedoch weiterhin die zugehörigen Retransmission-Einträge. Beim nächsten PTO-Timeout lässt ngtcp2 den STREAM-Frame erneut kodieren und aus dem freigegebenen Puffer kopieren. Ein böswilliger Akteur, der Unbound über DoQ abfragen kann, ACKs zurückhält, RESET_STREAM sendet und auf PTO wartet, erreicht diese Use-after-free-Schwachstelle ohne Privilegien. Dies führt zu Retransmissions auf freigegebenen Speicher und schließlich zu einem abnormalen Serverende bei einem 20-Query-Spray.

In NLnet Labs Unbound 1.13.2 bis einschließlich 1.26.1 ermöglicht eine Schwachstelle in konfigurierten ZONEMD-Zonen (zonemd-check: yes), die unterhalb (jedoch nicht auf) einem Trust Anchor liegen, ein Angriffsfenster, in dem (manipulierte) Zoneninhalte vor Abschluss der ZONEMD-Integritätsprüfung ausgeliefert (oder auf der Festplatte gespeichert) werden. Dies wird durch die erforderliche asynchrone DS/DNSKEY-Auflösung verursacht, die vor Abschluss der ZONEMD-Prüfung erfolgen muss. Wenn eine Zonendatei auf die Festplatte geschrieben wird (zonefile: option), während die ZONEMD-Prüfung fehlgeschlagen ist, werden die manipulierten Daten beim Start erneut geladen und bleiben verfügbar, bis die ZONEMD-Verifizierung erneut abgeschlossen ist. Wenn die Verifizierung fehlschlägt, werden die Daten nicht mehr ausgeliefert, bleiben jedoch für zukünftige erneute Ladevorgänge auf der Festplatte bestehen.

In NLnetLabs Unbound 1.20.0 bis einschließlich 1.26.0 kann eine Schwachstelle im Codepfad „serve-expired“ ein doppeltes Dekrement des „wait-limit“-Zählers pro Client-IP verursachen und damit im Wesentlichen eine der Gegenmaßnahmen umgehen, die für DNSBomb (CVE-2024-33655) eingeführt wurden. Ein böswilliger Akteur kann dies ausnutzen, indem er eine autoritative Zone mit kurzer TTL kontrolliert, sodass zwischengespeicherte Einträge schnell ablaufen. Auf jede „langsame“ Abfrage, die der autoritative Server des Angreifers nie beantwortet, folgt eine Abfrage für einen abgelaufenen zwischengespeicherten Namen, die sofort über den „serve-expired“-Pfad beantwortet wird und den Zähler zweimal dekrementiert. Diese zweite Abfrage wurde „pump“ genannt. Durch das Abwechseln von langsamen Abfragen und Pumps hält der Angreifer den Client-Zähler dauerhaft auf oder unter dem konfigurierten „wait-limit“ und kann eine beliebige Anzahl ausstehender Abfragen von einer einzigen Quell-IP aufrechterhalten, bis zur globalen Mesh-Quote (num-queries-per-thread); wodurch schließlich eine der für DNSBomb (CVE-2024-33655) eingeführten Gegenmaßnahmen umgangen wird. Diese Schwachstelle ist im Codepfad „serve-expired“ vorhanden.

Das myPRO Manager notification gateway legt einen nicht authentifizierten HTTP-Endpunkt offen, der zum Senden von SMS-Nachrichten über ein angeschlossenes GSM-Modem verwendet wird. Der Endpunkt ist über das Netzwerk zugänglich und erfordert keine Authentifizierung, bevor er eine Telefonnummer und eine Nachricht aus einer Anfrage übernimmt und die angegebene SMS-Nachricht sendet. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf das notification gateway könnte diese Schwachstelle ausnutzen, um beliebige SMS-Nachrichten über das angeschlossene Modem zu senden.

Die mySCADA myPRO Manager command API setzt die Authentifizierung für privilegierte Funktionen nicht ordnungsgemäß durch. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die betroffene API könnte diese Schwachstelle ausnutzen, um auf privilegierte Verwaltungsfunktionen zuzugreifen.

Use-after-free in Workers in Google Chrome vor Version 153.0.8010.47 ermöglichte es einem entfernten Angreifer, über eine speziell gestaltete HTML-Seite potenziell beliebigen Code außerhalb der Sandbox auszuführen. (Chromium security severity: Critical)

Out-of-bounds-Lesezugriff in WebGL in Google Chrome auf Android vor Version 153.0.8010.47 ermöglichte es einem entfernten Angreifer, über eine speziell erstellte HTML-Seite Speicher außerhalb der Sandbox zu lesen. (Chromium-Sicherheitsschweregrad: Kritisch)

Use-after-free in Internals in Google Chrome vor Version 153.0.8010.47 ermöglichte es einem entfernten Angreifer, über eine speziell erstellte HTML-Seite potenziell beliebigen Code außerhalb der Sandbox auszuführen. (Chromium-Sicherheitsbewertung: Kritisch)