Bir grup araştırmacı bu hafta, bazı DNS çözümleyicilerinin yetkili DNS sunucularına karşı dağıtılmış hizmet reddi (DDoS) saldırıları başlatmak için yararlanılabilecek bir güvenlik açığından etkilendikleri konusunda uyarıda bulundu.
TsuNAME olarak adlandırılan kusur, SIDN Labs (.nl alan adları için kayıt defterinin Ar-Ge ekibi), InternetNZ (.nz alanları için kayıt) ve Güney Kaliforniya Üniversitesi Bilgi Bilimi Enstitüsü’ndeki araştırmacılar tarafından keşfedildi.
Etkilenen kuruluşlar bilgilendirildi ve güvenlik açığı ifşa edilmeden önce harekete geçmeleri için 90 gün süre tanındı. Her ikisi de yaygın olarak kullanılan DNS hizmetleri sağlayan Google ve Cisco, TsuNAME için yamalar dağıttı, ancak araştırmacılar birçok sunucunun hala saldırılara açık olduğuna inanıyor.
Bir saldırgan, TLD operatörleri gibi hedeflenen yetkili sunuculara çok sayıda sorgu göndermek için TsuNAMI’den etkilenen özyinelemeli çözümleyicileri kötüye kullanabilir.
TsuNAMI, birbirini işaret eden iki bölge için NS kayıtlarının neden olduğu bir yapılandırma hatası olan döngüsel bağımlılığın olduğu sunucularda oluşur.
“TsuNAME, alan adları döngüsel bağımlı DNS kayıtlarıyla yanlış yapılandırıldığında ve savunmasız çözümleyiciler bu yanlış yapılandırmalara eriştiğinde döngü oluşturmaya ve DNS sorgularını yetkili sunuculara ve diğer çözümleyicilere hızla göndermeye başladığında ortaya çıkıyor,” diye açıkladı araştırmacılar güvenlik açığını ayrıntılarıyla açıkladılar.
Ayrıca ayrı bir danışma belgesinde açıkladılar: “TsuNAME’e karşı savunmasız çözümleyiciler, döngüsel bağımlı kayıtları olan yetkili sunuculara kesintisiz sorgular gönderecektir. Bir çözümleyicinin yetkili bir sunucuyu ezmesi olası olmasa da, birçok döngüsel, savunmasız özyinelemeli çözümleyicilerin toplu etkisi de olabilir. “
Böyle bir olay, Yeni Zelanda’daki .nz TLD’nin yetkili sunucularının sorgularda yüzde 50 artış gördüğü 2020’de gözlemlendi. Bir analiz, dalgalanmanın döngüsel bağımlılıklarla yanlış yapılandırılmış yalnızca iki alandan kaynaklandığını gösterdi.
“İki alanın basit bir şekilde yanlış yapılandırılmasının% 50 trafik artışına yol açtığına dikkat edin. Araştırmacılar, motive edilmiş bir saldırı bunu yüzlerce veya binlerce alan adıyla gerçekleştirirse ne olacağı merak edilebilir ”dedi.
Geçmiş yıllarda en az iki benzer olay daha gözlemlendi: biri, olay nedeniyle on kat trafik artışı kaydeden bir Avrupa ülke kodu TLD’yi (ccTLD) içeriyordu; ve biri Google’ın her noktaya yayın operatörünün sunucularına büyük miktarda sorgu göndermesini içerir.
Araştırmacılar, hem yetkili sunucu operatörleri hem de çözümleyici yazılım geliştiricileri için öneriler paylaştılar ve ayrıca kuruluşlar tarafından sorunlu yapılandırmaları tespit etmek için kullanılabilecek CycleHunter adlı açık kaynaklı bir araç yayınladılar.