Windows “七大奇迹”：DNS Dynamic Updates 中的7个严重漏洞

admin

101007
文章

87
评论

2021年3月12日10:35:19评论228 views字数 3325阅读11分5秒阅读模式

Windows “七大奇迹”：DNS Dynamic Updates 中的7个严重漏洞聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

概要

微软在3月补丁星期二修复了7个 DNS 漏洞，其中5个是远程代码执行 (RCE) 漏洞（CVE-2021-26877、CVE-2021-26897、CVE-2021-26893、CVE-2021-26894和CVE-2021-26895），CVSS 评分为9.8；余下的2个是拒绝服务 (DoS) 漏洞（CVE-2021-26896 和 CVE-2021-27063）。微软与 MAPP 会员共享了其中2个 RCE 漏洞的检测指南和 PoC（CVE-2021-26877 和 CVE-2021-26897）。McAfee 已经在 DNS Dynamic Zone Update 中证实了它们的存在。之后微软证实称所有的7个漏洞都位于 Dynamic Zone Update 活动中。McAfee 从对 CVE-2021-26877 和 CVE-2021-26897 的分析以及微软的进一步说明中证实，这5个 DNS RCE 漏洞均非可蠕虫漏洞。

CVSS 评分为9.8 意味着攻击者能够攻陷 DNS 服务器而无需认证或用户交互。如这些漏洞遭利用将导致 Primary Autoritative DNS 服务器上 RCE 执行的后果。不过虽然 CVSS 评分是一款不错的技术评分工具，但需要结合用户 DNS 部署环境的上下文才能理解下文所讨论的风险。

强烈建议 Dynamic Updates 用户尽快修复 Windows DNS 服务器。如无法修复，则建议优先评估暴露情况。

DNS Dynamic Updates，威胁和部署

美国国家标准与技术研究员 (NIST) 在《DNS 安全部署指南》中提到，DNS 威胁可分为平台和事务威胁。平台威胁可归类为 DNS 主机平台或 DNS 软件威胁。如下表，Dynamics Update 是 DNS 四大事务类型之一。这7个DNS 漏洞存在于 Windows DNS Software 的 Dynamic Update DNS 事务功能内。

Windows “七大奇迹”：DNS Dynamic Updates 中的7个严重漏洞

DNS Dynamic Zone Update 功能可使客户端在 Primary DNS Authoritative Server 上更新 Resource Records (RRs)，如何时更改 IP 地址；这些客户端一般是证书颁发机构和 DHCP 服务器。Dynamic Zone Update 共鞥可在标准的 DNS 服务器或集成活动目录 (AD) 的DNS 服务器上部署。最佳实践是部署集成 AD 的 DNS，以便供微软安全如 Kerberos 和 GSS-TSIG 使用。

在 DNS 服务器上创建 Zone 时有一个选项即可以启用或禁用 DNS Dynamic Zone Updates。当 DNS 部署为单独的服务器时，Dynamic Zone Update 功能默认禁用但可在安全/不安全的模式下启用。当 DNS 部署为集成 AD 时，Dynamic Zone Update 功能在默认情况下以安全模式启用。

安全的Dynamic Zone Update验证所有的 RR 更新均通过加入域的计算机上的 GSS-TSIG 进行了数字签名。此外，可以对哪些主体能够执行 Dynamic Zone Updates 应用更精细的控件。

不安全的 Dynamic Zone Update 可使任何机器在无需认证的情况下更新 RRs（不推荐）。

攻击的前提

集成 AD 的 DNS Dynamic Updates（安全更新的默认配置）
DNS 服务器必须接收对至少一个 Zone 的写请求（一般一个DNS主服务器仅允许 Zone RR 写，单配置不当和辅助服务器可忽视该要求）
域加入机器
攻击者必须构造 DNS 服务器请求并在请求中提供目标 Zone
单独的 DNS 服务器（安全/不安全配置）
DNS 服务器必须接收对至少一个 Zone 的写请求（一般一个DNS主服务器仅允许 Zone RR 写，单配置不当和辅助服务器可忽视该要求）
攻击者必须构造 DNS 服务器请求并在请求中提供目标 Zone

从威胁模型的角度来看，我们必须考虑威胁行动者的动机、能力和访问/机会，因此我们必须理解和环境相关的风险。我们并未在野外发现这些漏洞遭利用的急响，因此必须专注于访问能力，即关上了威胁行动者的机会。表2概述了和这些 RCE 漏洞所展现机会相关的 DNS Dynamic Update 部署模型。

Windows “七大奇迹”：DNS Dynamic Updates 中的7个严重漏洞

风险最高的部署是暴露到互联网的 Dynamic Update 不安全模型中的 DNS 服务器；这并非最佳安全实践，而且以我们的经验来看，并不了解这类部署的用例。

在安全模式（默认）下部署集成 AD 的 DNS Dynamic Update 虽然缓解了未认证攻击者的风险，单仍然具有失陷域名计算机或受信任内部人员实现 RCE 的高风险。

漏洞分析

所有的漏洞都和在 dns.exe 中处理 Dynamic Update 数据包相关。我们分析漏洞的目的是确保能够生成保护客户的签名。

CVE-2021-26877 分析

当 Zone 更新时，TXT RR 的 “TXT 长度“大于”Data长度“，该漏洞触发，如Wireshark 所示：

Windows “七大奇迹”：DNS Dynamic Updates 中的7个严重漏洞

该漏洞位于 File_PlaceStringInFileBuffer() 函数中，可从 WinDbg 输出看出：

当DNS Dynamic Zone Update 的 “TXT 长度“字段未得到相对于“Data 长度”的验证时，该漏洞即堆上的界外读取漏洞。它可使攻击者读取多达255字节的内存。微软指出该漏洞可用于实现 RCE；不过需要进一步的界外写源语。
和该界外读取相关的内存分配在 CopyWireRead() 函数中创建。该函数的相关伪代码如下：

File_PlaceStringInFileBuffer() 函数此前从CopyWireRead() 函数分配的 TXT_data 中复制数据。然而，Wireshark 显示的UpdateRR->TXT 长度值并未验证且用于从 *UpdateRR->Data 长度复制。由于 UpdateRR->TXT 长度并未相对于 UpdateRR->Data 长度进行验证，因此会导致堆内存界外读取漏洞。

CVE-2021-26897 分析