Das britische National Infrastructure Security Co-Ordination Centre (NISCC) hat eine Note veröffentlicht, die auf Implementierungsfehler des DNS-Protokolls in diversen Produkten hinweist. Angreifer können diese Fehler für Denial-of-Service-Angriffe ausnutzen. Ein erster Hersteller ist auch schon betroffen: Axis. Dessen netzwerkfähigen Videokameras und -server geraten beim Empfang einer DNS-Anfrage schon einmal aus dem Tritt, wenn sie eigentlich eine DNS-Antwort erwarten.
Laut NISCC liegt der Grund in der freizügigen Interpretation des DNS-Protokolls, sodass Clients und Server statt einer DNS-Response auch eine DNS-Query als Antwort akzeptieren. Allerdings kann das zu einem ständigen Hin-und-her-Schicken von DNS-Paketen führen, was letztlich in einem Query-Response-Sturm endet -- die Rechner sind nur noch mit sich selbst beschäftigt.
Ein Angreifer kann dies für Denial-of-Service-Angriffe ausnutzen, indem er von einem verwundbaren System ein präpariertes Paket mit dem UDP-Quellport 53 an ein anderes verwundbares System schickt. Zudem funktioniert der Angriff auch mit nur einem verwundbaren System. Durch das Fälschen des Absenders in einem manipulierten Paket lassen sich Quell- und Zieladresse gleichsetzen, sodass der Empfänger versucht, seine eigene Anfrage zu beantworten -- und damit in eine Endlosschleife gerät.
Siehe dazu auch:
<a href="http://www.uniras.gov.uk/vuls/2004/758884/index.htm">Vulnerability Issues in Implementations of the DNS Protocol</a> von NISCC
Quelle: heise.de
Achtung DNS -
11.11.2004, 10:02
