Yehuda Afek

O código de análise de mensagens DNS no `named` inclui uma seção cuja complexidade computacional é excessivamente alta. Isso não causa problemas para o tráfego DNS típico, mas consultas e respostas maliciosas podem causar carga excessiva na CPU da instância `named` afetada ao explorar essa falha. Esta vulnerabilidade afeta tanto servidores autoritativos quanto resolvedores recursivos. Um invasor remoto poderia explorar essa vulnerabilidade para provocar uma falha de asserção ao consultar zonas reversas RFC 1918.

The effectiveness of the cache-cleaning algorithm used in `named` can be severely diminished by querying the resolver for specific RRsets in a certain order, effectively allowing the configured `max-cache-size` limit to be significantly exceeded. This can lead to a denial of service, caused by a flaw that allows the named's configured cache size limit to be significantly exceeded, potentially exhausting all memory on the host.

O problema está relacionado a um ataque de delegação sem resposta (NRDelegation Attack) que afeta vários softwares de resolução de DNS, incluindo o Unbound. Esse ataque envolve uma delegação maliciosa com um número considerável de servidores de nomes que não respondem, fazendo com que o resolvedor gaste tempo e recursos significativos resolvendo registros sob o ponto de delegação malicioso. Embora o Unbound não sofra com alto uso de CPU, ele ainda requer recursos para resolver a delegação maliciosa, o que pode levar à degradação do desempenho e, potencialmente, a uma negação de serviço em ataques orquestrados.

O problema está relacionado a uma falha no código do resolvedor do servidor DNS, que pode ser explorada inundando o resolvedor alvo com consultas, prejudicando significativamente seu desempenho e impedindo efetivamente que clientes legítimos tenham acesso ao serviço de resolução DNS. Isso pode levar a um ataque de negação de serviço (DoS). A vulnerabilidade está associada ao gerenciamento inadequado de recursos internos da aplicação ao lidar com grandes delegações.

A falha no protocolo DNS permite que agentes mal-intencionados utilizem serviços DNS recursivos para atacar servidores de nomes autoritativos de terceiros, resultando em desempenho reduzido. Isso é desencadeado por subdomínios aleatórios no campo NSDNAME dos registros NS. O ataque utiliza uma resposta forjada por um servidor de nomes autoritativo para amplificar o tráfego resultante entre o servidor recursivo e outros servidores de nomes autoritativos.

O problema está relacionado à falta de uma limitação eficaz do número de consultas realizadas durante o processamento de encaminhamentos, o que pode fazer com que um servidor recursivo emita um grande número de consultas. Isso pode levar à degradação do desempenho do servidor e ser potencialmente explorado em um ataque de reflexão com alto fator de amplificação. A vulnerabilidade pode ser explorada por um invasor remoto para provocar uma falha de asserção em tsig.c, causando uma negação de serviço.

O problema está relacionado ao controle insuficiente do volume de mensagens de rede, também conhecido como problema “NXNSAttack”. Ele é desencadeado por subdomínios aleatórios no campo NSDNAME dos registros NS.