Большой респект исследователям в сфере облачной безопасности Ширу Тамари и Ами Луттваку из компании Wiz, которые раскрыли новый класс уязвимостей DNS, затрагивающих даже самых крупных поставщиков DNSaaS.
Из неутешительных выводов: любой облачный провайдер, регистратор доменов и хостинг веб-сайтов, которые предоставляют DNSaaS, может быть уязвим.
Из шести исследованных спецами основных поставщиков DNSaaS трое были уязвимы. Вкратце: Wiz заметили, что несколько провайдеров управляемых DNS не заносили в черный список свои собственные DNS-серверы внутри своих бэкэндов. Им удалось добавить сам сервер имен управляемого DNS-провайдера в бэкэнд и указать его на свою внутреннюю сеть, что позволило им перехватить DNS-трафик, попадающий на захваченный управляемый сервер провайдера, но получая не весь DNS-трафик, а только динамические обновления DNS.
Согласно отчету, конечные точки Microsoft Windows раскрывают конфиденциальную информацию о клиентах при выполнении запросов на обновление DNS. Так, за несколько часов мониторинга DNS они получили обновления с 992 597 оконечных точек Windows от примерно 15 000 потенциально уязвимых компаний, включая 15 компаний из списка Fortune 500. В некоторых организациях было более 20 000 оконечных устройств, которые активно передавали свою информацию за пределы.
Успешная эксплуатация позволила им собрать внутренние IP-адреса, раскрыть сетевые сегменты организации, имена компьютеров, их потенциальное содержание, внешние IP-адреса с географическим местоположениям, сайты организации по всему миру, внутренние адреса IPv6 (иногда доступны извне и позволяют войти в организацию), обнаружить билеты NTLM / Kerberos.
Исследователи полагают, что несмотря на то, что они не могли отслеживать весь DNS-трафик компании в реальном времени, собранные данные динамических обновлений DNS - золотая жила для разведки, особенно при проведении точных целевых атак. Кроме того, данные могут помочь для корреляции связей между различными компаниями, что после нанесения на карту может идентифицировать компании, которые, например, нарушили правила OFAC и вели бизнес в странах, находящихся под санкциями, например, в таких как Иран или Кот-д'Ивуар.
Однако проблема глубже, чем просто недоработка со стороны провайдеров: и тут снова Microsoft, которые установили по умолчанию на серверах Windows опцию, которая дает динамическим обновлениям DNS выходить из локальной сети в Интернет.
Удивительно, что даже такие гиганты как Amazon и Google оказались в списке аутсайдеров, судорожно блокируя регистрацию собственных доменных имен внутри своих серверов. Конечно же, гиганты заявили, что не обнаружили злонамеренной эксплуатации уязвимостей. Мы и не сомневаемся, ведь, о полезной реализации таких глобальных дыр обычно докладывают в отчетах спецслужб.
Из неутешительных выводов: любой облачный провайдер, регистратор доменов и хостинг веб-сайтов, которые предоставляют DNSaaS, может быть уязвим.
Из шести исследованных спецами основных поставщиков DNSaaS трое были уязвимы. Вкратце: Wiz заметили, что несколько провайдеров управляемых DNS не заносили в черный список свои собственные DNS-серверы внутри своих бэкэндов. Им удалось добавить сам сервер имен управляемого DNS-провайдера в бэкэнд и указать его на свою внутреннюю сеть, что позволило им перехватить DNS-трафик, попадающий на захваченный управляемый сервер провайдера, но получая не весь DNS-трафик, а только динамические обновления DNS.
Согласно отчету, конечные точки Microsoft Windows раскрывают конфиденциальную информацию о клиентах при выполнении запросов на обновление DNS. Так, за несколько часов мониторинга DNS они получили обновления с 992 597 оконечных точек Windows от примерно 15 000 потенциально уязвимых компаний, включая 15 компаний из списка Fortune 500. В некоторых организациях было более 20 000 оконечных устройств, которые активно передавали свою информацию за пределы.
Успешная эксплуатация позволила им собрать внутренние IP-адреса, раскрыть сетевые сегменты организации, имена компьютеров, их потенциальное содержание, внешние IP-адреса с географическим местоположениям, сайты организации по всему миру, внутренние адреса IPv6 (иногда доступны извне и позволяют войти в организацию), обнаружить билеты NTLM / Kerberos.
Исследователи полагают, что несмотря на то, что они не могли отслеживать весь DNS-трафик компании в реальном времени, собранные данные динамических обновлений DNS - золотая жила для разведки, особенно при проведении точных целевых атак. Кроме того, данные могут помочь для корреляции связей между различными компаниями, что после нанесения на карту может идентифицировать компании, которые, например, нарушили правила OFAC и вели бизнес в странах, находящихся под санкциями, например, в таких как Иран или Кот-д'Ивуар.
Однако проблема глубже, чем просто недоработка со стороны провайдеров: и тут снова Microsoft, которые установили по умолчанию на серверах Windows опцию, которая дает динамическим обновлениям DNS выходить из локальной сети в Интернет.
Удивительно, что даже такие гиганты как Amazon и Google оказались в списке аутсайдеров, судорожно блокируя регистрацию собственных доменных имен внутри своих серверов. Конечно же, гиганты заявили, что не обнаружили злонамеренной эксплуатации уязвимостей. Мы и не сомневаемся, ведь, о полезной реализации таких глобальных дыр обычно докладывают в отчетах спецслужб.