Kim jesteśmy?

• HyperOne - wydajne i stabilne usługi publicznej chmury obliczeniowej
• Zespół nastawiony na inżynieryjne podejście

O czym opowiemy

• DNS
• CVE-2019-3871
  • Sposób odkrycia
  • Potencjalne skutki
  • Przebieg łatania
  • Mitygacja

DNS

• Kto zna?
• Kto korzysta?
• Kto konfigurował własny serwer?

DNS

• Co w pakiecie odpowiedzi serwera DNS świadczy o tym, że odpowiedź jest autorytatywna?

Autorytatywny serwer DNS

CVE-2019-3871

• Base Score CVE NVD: 8.8 (high)
  • https://nvd.nist.gov/vuln/detail/CVE-2019-3871
  • https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• Jedynie High, choć może Critical, a zaczęto od Low

CVE score

CVE score

Sposób odkrycia

https://www.sciencealert.com/these-eighteen-accidental-scientific-discoveries-changed-the-world

Exploit

$ dig anything@rouge-api-server @target-server

Fits in the Twitter message!

Expected flow

Affected flow

Affected flow

Wpływ

• wszystkie wersje Autorytatywnego serwera PowerDNS z backendem HTTP
  • nie wymaga specjalnych uprawnień
  • zwykle uodstępniana jako ogólnodostępna usługa
• DOS
  • reflected DDOS
• walidacja dla uzyskania certyfikatów SSL
  • phishing - zniweczenie HTTPS
    • utrata haseł itp.

Co dalej?

• Od tego czasu wycofujemy PowerDNS
• Zastępujemy przez własny moduł CoreDNS
  • Serwer DNS napisany w Go
  • Istnieje plan otwarcia tego kodu na GitHub