經銷商專區｜登入
〔最新消息〕2020-06-17
Radware：DNS解析器驚爆安全漏洞NXNSAttack
2020年5月19日，特拉維夫大學和以色列跨學科中心的學者們發現，DNS遞迴解析器在實施過程中存在漏洞，可以被用於發起針對任意受害者的破壞性DDoS攻擊。研究人員將利用此漏洞的攻擊稱為NXNSAttack，並在研究論文中進行了詳細說明。
不同於直接以主機或服務為目標並對其造成影響的DDoS洪水攻擊或應用層DDoS攻擊，NXNSAttack的攻擊目標是受害者的域名解析能力。與NXDOMAIN或DNS水刑攻擊一樣，這種DDoS攻擊的目標是通過遞歸DNS解析器，利用採用了隨機域名請求洪水的無效請求重載權威域名服務器，從而破壞這些權威域名服務器。由於請求來自合法的遞歸DNS服務器，因此在權威服務器上很難檢測並緩解這一攻擊。通過破壞域名解析，攻擊者可以有效攔截對此域名下所有服務的訪問。遭到攻擊後，新的客戶端無法找到連接到服務的IP地址，因此無法解析服務的主機名。
與數據包放大係數僅為3倍的NXDOMAIN攻擊不同，NXNSAttack提供的數據包放大係數從攻擊子域(victim.com)時的74倍到針對遞迴解析器的1621倍不等。帶寬放大係數則在攻擊子域的21倍和針對遞迴解析器的163倍之間。針對根域名服務器和一級域名服務器的數據包放大係數為1071倍，帶寬放大係數為99倍。NXNSAttack具有較高的放大率和靈活的內容匹配功能，是一種可以用於發起大規模攻擊的攻擊矢量。
隨後，研究人員公開了這一漏洞，並接觸了已經修復了軟件和服務的供應商。漏洞披露時，以下這些DNS服務器已有可用補丁：ISC BIND (CVE-2020-8616)、NLnet labs Unbound (CVE-2020-12662)、PowerDNS (CVE-2020-10995)和CZ.NIC Knot Resolver (CVE -2020-12667)。此外，以下這些開放DNS遞迴解析器提供商已更新了服務，以緩解利用此漏洞的DDoS攻擊：Cloudflare、Google、Amazon、Microsoft、Oracle (DYN)、Verisign、IBM Quad9以及ICANN。其他軟件和服務提供商也隨之進行了修復。然而，也可以做出這樣的假設，並非所有的私有和公有遞迴解析器都已經得到了修復或即將被修復。
遭受到攻擊或漏洞濫用不僅限於公有遞迴解析器，也會影響到位於ISP、雲中或企業內部的私有遞迴解析器。過去，惡意攻擊者可以利用不同的機器人程序發起隨機域名洪水攻擊，現在也可以利用相同的機器人程序發起破壞解析器所有者之外的任意受害者的NXNSAttack。Mirai等提供了“開箱即用”隨機域洪水支持的殭屍網絡源代碼可以輕鬆獲得，這就增加了執行這些破壞性DDoS攻擊的可能性。
受害者沒有把握及時應對他們所面臨的風險。任何權威DNS基礎架構組件都可以為其控制之外的遞歸DNS解析器所破壞，包括二級域名(victim.com)、一級域名(.com, .info, …)和根域名服務器('. ')。受害者只能任由DNS服務提供商擺佈。
遞歸DNS提供商可以通過應用DNS軟件供應商提供的修復程序或部署研究人員在論文中提出的Max1Fetch解決方案，來保護自身基礎架構，並保護互聯網免遭攻擊。或者，遞歸DNS提供商可以通過積極採用經DNSSEC驗證的緩存(RFC8198)或利用Radware DefensePro來進行DDoS防護，保護自身基礎架構免遭隨機域名洪水的侵擾。
HTTPS上的DNS (DOH)或TLS上的DNS (DOT)不能提供針對NXNSAttack的防護措施。DOH和DOT協議的目的是提供客戶端域名解析的隱私性，而不能保護DNS基礎架構的授權端。最糟糕的情況就是，DOH和DOT被用作規避技術，隱藏來自上游網絡傳感器的隨機域名洪水和TLS加密數據流內的防護措施，進而無法檢測並緩解惡意DNS攻擊。
增加域名空間的生存時間(TTL)值將提高域名下服務抵抗權威域名服務器中斷的能力，代價則是犧牲域名的靈活性。此外，這只能為在隱藏在解析器之後的且在更早的時候就已經緩存了解析的客戶端提供解決方案，不能在遭受攻擊時提供完整或不確定的解決方案。
足智多謀且無處不在的攻擊者可以創建針對任何子域(victim.com)的攻擊基礎架構，進而影響相同域名服務器或服務提供商提供的其他子域。如果有足夠資源，攻擊還可以針對'.com'、'.info'、'.us'、'.ca'、'.de'等一級域名，甚至可以嘗試中斷互聯網的根域名服務器。
不同於直接以主機或服務為目標並對其造成影響的DDoS洪水攻擊或應用層DDoS攻擊，NXNSAttack的攻擊目標是受害者的域名解析能力。與NXDOMAIN或DNS水刑攻擊一樣，這種DDoS攻擊的目標是通過遞歸DNS解析器，利用採用了隨機域名請求洪水的無效請求重載權威域名服務器，從而破壞這些權威域名服務器。由於請求來自合法的遞歸DNS服務器，因此在權威服務器上很難檢測並緩解這一攻擊。通過破壞域名解析，攻擊者可以有效攔截對此域名下所有服務的訪問。遭到攻擊後，新的客戶端無法找到連接到服務的IP地址，因此無法解析服務的主機名。
與數據包放大係數僅為3倍的NXDOMAIN攻擊不同，NXNSAttack提供的數據包放大係數從攻擊子域(victim.com)時的74倍到針對遞迴解析器的1621倍不等。帶寬放大係數則在攻擊子域的21倍和針對遞迴解析器的163倍之間。針對根域名服務器和一級域名服務器的數據包放大係數為1071倍，帶寬放大係數為99倍。NXNSAttack具有較高的放大率和靈活的內容匹配功能，是一種可以用於發起大規模攻擊的攻擊矢量。
隨後，研究人員公開了這一漏洞，並接觸了已經修復了軟件和服務的供應商。漏洞披露時，以下這些DNS服務器已有可用補丁：ISC BIND (CVE-2020-8616)、NLnet labs Unbound (CVE-2020-12662)、PowerDNS (CVE-2020-10995)和CZ.NIC Knot Resolver (CVE -2020-12667)。此外，以下這些開放DNS遞迴解析器提供商已更新了服務，以緩解利用此漏洞的DDoS攻擊：Cloudflare、Google、Amazon、Microsoft、Oracle (DYN)、Verisign、IBM Quad9以及ICANN。其他軟件和服務提供商也隨之進行了修復。然而，也可以做出這樣的假設，並非所有的私有和公有遞迴解析器都已經得到了修復或即將被修復。
遭受到攻擊或漏洞濫用不僅限於公有遞迴解析器，也會影響到位於ISP、雲中或企業內部的私有遞迴解析器。過去，惡意攻擊者可以利用不同的機器人程序發起隨機域名洪水攻擊，現在也可以利用相同的機器人程序發起破壞解析器所有者之外的任意受害者的NXNSAttack。Mirai等提供了“開箱即用”隨機域洪水支持的殭屍網絡源代碼可以輕鬆獲得，這就增加了執行這些破壞性DDoS攻擊的可能性。
受害者沒有把握及時應對他們所面臨的風險。任何權威DNS基礎架構組件都可以為其控制之外的遞歸DNS解析器所破壞，包括二級域名(victim.com)、一級域名(.com, .info, …)和根域名服務器('. ')。受害者只能任由DNS服務提供商擺佈。
遞歸DNS提供商可以通過應用DNS軟件供應商提供的修復程序或部署研究人員在論文中提出的Max1Fetch解決方案，來保護自身基礎架構，並保護互聯網免遭攻擊。或者，遞歸DNS提供商可以通過積極採用經DNSSEC驗證的緩存(RFC8198)或利用Radware DefensePro來進行DDoS防護，保護自身基礎架構免遭隨機域名洪水的侵擾。
HTTPS上的DNS (DOH)或TLS上的DNS (DOT)不能提供針對NXNSAttack的防護措施。DOH和DOT協議的目的是提供客戶端域名解析的隱私性，而不能保護DNS基礎架構的授權端。最糟糕的情況就是，DOH和DOT被用作規避技術，隱藏來自上游網絡傳感器的隨機域名洪水和TLS加密數據流內的防護措施，進而無法檢測並緩解惡意DNS攻擊。
增加域名空間的生存時間(TTL)值將提高域名下服務抵抗權威域名服務器中斷的能力，代價則是犧牲域名的靈活性。此外，這只能為在隱藏在解析器之後的且在更早的時候就已經緩存了解析的客戶端提供解決方案，不能在遭受攻擊時提供完整或不確定的解決方案。
足智多謀且無處不在的攻擊者可以創建針對任何子域(victim.com)的攻擊基礎架構，進而影響相同域名服務器或服務提供商提供的其他子域。如果有足夠資源，攻擊還可以針對'.com'、'.info'、'.us'、'.ca'、'.de'等一級域名，甚至可以嘗試中斷互聯網的根域名服務器。
