Xiang Li

Um estouro de buffer no heap (heap-based buffer overflow) existe no validador DNSSEC do resolvedor DNS Unbound. O problema ocorre durante a preparação de um digest de DNSKEY dentro da função `ds create dnskey digest()` localizada em `validator/val sigcrypt.c`. Um invasor que controle uma zona DNS maliciosa pode disparar isso fornecendo um registro DNSKEY onde o ponteiro de compressão do proprietário se refere ao seu próprio RDATA. Isso faz com que o validador descompacte os dados em um buffer sem uma verificação de capacidade adequada, levando ao cruzamento de um limite de memória. Isso pode resultar em negação de serviço ou possível execução remota de código (RCE) no processo do resolvedor, sem a necessidade de credenciais do alvo ou interação do usuário.

Ataques de complexidade algorítmica, pesquisados como 'ReTrap', podem levar à degradação do serviço quando zonas maliciosas são utilizadas. Esses ataques incluem o TagTrap, onde o mecanismo de correspondência triple(Zone, Algo, KeyTag) é explorado por meio de respostas com inúmeros registros DNSKEY, RRSIG e DS incompatíveis; o DelegationTrap, que causa sobrecarga computacional durante a validação iterativa da cadeia de confiança para domínios profundamente aninhados; o NsecTrap, que força o resolver a validar registros NSEC inválidos excessivos; e o AdditionalTrap, onde a validação DNSSEC padrão da seção ADDITIONAL é utilizada para desperdiçar recursos.

Um problema de use-after-free ocorre quando o software é compilado para suporte a DNS-over-HTTPs (DoH) usando a flag `--with-libnghttp2`. Durante caminhos de código de falha, como uma consulta de queda de RPZ ou jostle causado por tráfego intenso, um fluxo DoH interrompido pode encerrar toda a sessão DoH sem contabilizar adequadamente outros fluxos ativos na mesma sessão. Um agente mal-intencionado pode disparar essa condição com uma única conexão DoH e tráfego específico, desde que os pré-requisitos sejam atendidos. Embora o impacto seja limitado porque as leituras não são controladas pelo usuário e normalmente resultam em retornos antecipados, um alocador endurecido pode detectar o use-after-free e encerrar o processo, resultando em negação de serviço.

Um problema de use-after-free ocorre quando o software é compilado para suporte a DNS-over-QUIC (DoQ) usando a flag `--with-libngtcp2`. Nesta configuração, cada stream DoQ utiliza um buffer de saída para respostas DNS. O buffer de retransmissão do `ngtcp2` mantém um ponteiro raso para este buffer de saída. Quando um cliente envia um RESET STREAM, o buffer de saída é liberado, mas o `ngtcp2` retém as entradas de retransmissão. Um Probe Timeout (PTO) subsequente faz com que o `ngtcp2` re-codifique o frame STREAM e copie dados do buffer já liberado. Um agente remoto sem privilégios pode disparar isso ao consultar o Unbound via DoQ, reter confirmações e enviar um RESET STREAM. Isso pode resultar na saída anormal do servidor.

Zonas configuradas com `zonemd-check: yes` que estão localizadas abaixo de uma âncora de confiança possuem uma falha onde conteúdos de zona adulterados podem ser servidos ou armazenados em disco antes que a verificação de integridade ZONEMD seja concluída. Isso ocorre devido à resolução assíncrona de registros DS/DNSKEY necessária para a verificação. Se a opção `zonefile:` for utilizada para gravar um arquivo de zona em disco enquanto a verificação ZONEMD falha, os dados adulterados são recarregados na inicialização e permanecem disponíveis até que a próxima verificação seja concluída. Mesmo que a verificação falhe posteriormente, os dados adulterados persistem no disco para recarregamentos futuros.

Um atacante que falsifica respostas para requisições com ECS habilitado enviadas pelo Recursor pode obter êxito. A versão atualizada inclui mitigações contra tentativas de falsificação de consultas com ECS habilitado, encadeando requisições com ECS habilitado e impondo uma validação mais rigorosa das respostas recebidas. A mitigação mais rigorosa é ativada quando a configuração `outgoing.edns subnet harden` está habilitada.

Uma vulnerabilidade de envenenamento de cache que afeta múltiplos fornecedores, denominada 'Rebirthday Attack', foi descoberta em resolvedores de cache que suportam EDNS Client Subnet (ECS). O Unbound é vulnerável quando compilado com suporte a ECS (ou seja, '--enable-subnet') e configurado para enviar informações ECS para servidores de nomes upstream (ou seja, quando pelo menos uma das opções 'send-client-subnet', 'client-subnet-zone' ou 'client-subnet-always-forward' é utilizada). Isso permite que agentes maliciosos potencialmente correspondam aos IDs de transação DNS e armazenem respostas envenenadas em cache.

Foi descoberta uma falha no software de resolução de DNS que faz com que um resolvedor ignore respostas válidas, causando assim uma negação de serviço na resolução normal. Em um ataque, o invasor poderia falsificar uma resposta direcionada à porta de origem de um resolvedor vulnerável sem a necessidade de adivinhar o TXID correto.

Uma falha no modo de encaminhamento permite que invasores criem um loop de consultas usando os resolvedores do Technitium, lançando ataques de amplificação e potencialmente causando negação de serviço (DoS).

Uma falha no software permite que invasores lancem ataques de amplificação, podendo causar negação de serviço (DoS) com um fator de amplificação três vezes maior do que em outros softwares, como o BIND.

A vulnerabilidade permite que invasores realizem um ataque de envenenamento de cache DNS, possibilitando a injeção de respostas falsas em menos de 1 segundo.

A vulnerabilidade permite que invasores realizem envenenamento de cache DNS e injetem respostas falsas por meio de um ataque de aniversário, possibilitando-lhes manipular respostas DNS.

O problema está relacionado ao protocolo DNS, que permite que invasores remotos provoquem uma negação de serviço ao fazer com que consultas DNS se acumulem por segundos, de modo que as respostas sejam enviadas posteriormente em uma rajada pulsante. Isso pode ser considerado amplificação de tráfego em alguns casos, também conhecida como o problema “DNSBomb”. O ataque funciona enviando um fluxo lento de solicitações DNS modificadas para servidores DNS, que retransmitem os dados, aumentando o tamanho do pacote e retendo-o para, então, liberar tudo de uma vez em uma rajada de tráfego DNS diretamente no alvo. O grupo de pesquisa afirma ter testado sua técnica em 10 dos principais programas de DNS e 46 serviços públicos de DNS e conseguiu lançar o DNSBomb a uma taxa de até 8,7 Gbit/s, com o tráfego de DNS aumentado em até 20.000 vezes seu tamanho original.

The issue is related to errors in the representation of information by the user interface in the Windows DNS service. This can allow a remote attacker to conduct spoofing attacks.

The issue is related to a denial of service vulnerability in the c-ares library, which is an asynchronous resolver library. It occurs when a target resolver sends a query, and an attacker forges a malformed UDP packet with a length of 0, causing the target resolver to interpret the 0 length as a graceful shutdown of the connection. This can lead to a denial of service.

The issue is related to a denial of service vulnerability in PowerDNS Recursor, where authoritative servers can be marked as unavailable. This can be exploited by a remote attacker to cause a denial of service.

The issue enables attackers to consume the resolver's resources, launching amplification attacks and potentially causing a denial of service. A single client query may lead to a hundred TCP connection attempts if a DNS server closes connections without providing a response.

The issue allows a self-CNAME denial-of-service attack. This occurs when a CNAME loop causes an answer to contain hundreds of records.

Foi descoberta uma vulnerabilidade que permite a variante V2 da resolução não intencional de nomes de domínio. Um nome de domínio revogado pode continuar sendo resolvido por um longo período, incluindo domínios expirados e domínios maliciosos que foram retirados do ar. Os efeitos de uma exploração seriam generalizados e de grande impacto, pois a exploração está em conformidade com as especificações e práticas operacionais de fato do DNS e contorna os patches de mitigação atuais para nomes de domínio “fantasmas”.

Foi descoberta uma vulnerabilidade que permite a variante V1 da resolução indesejada de nomes de domínio. Um nome de domínio revogado pode permanecer resolvível por um longo período, incluindo domínios expirados e domínios maliciosos que foram retirados do ar. Os efeitos de uma exploração seriam generalizados e de grande impacto, pois a exploração está em conformidade com as especificações e práticas operacionais de fato do DNS e contorna os patches de mitigação atuais para nomes de domínio “fantasmas”.