Podatności dnsmasq

W dnsmasq występuje podatność ujawniania informacji, która pozwala zdalnym atakującym obejść sprawdzanie źródła za pomocą spreparowanego pakietu DNS z informacją o podsieci klienta zgodną z RFC 7871. Luka umożliwia obejście mechanizmów weryfikacji pochodzenia zapytań.

W funkcji add_pseudoheader w dnsmasq przed wersją 2.78 występuje niedobór całkowity, który może być wykorzystany przez zdalnych atakujących do wywołania odmowy usługi poprzez spreparowane żądanie DNS, gdy używane są opcje --add-mac, --add-cpe-id lub --add-subnet.

W dnsmasq przed wersją 2.78 występuje wyciek pamięci, gdy używane są opcje --add-mac, --add-cpe-id lub --add-subnet. Umożliwia to zdalnym atakującym spowodowanie odmowy usługi poprzez manipulację tworzeniem odpowiedzi DNS.

W dnsmasq przed wersją 2.78, jeśli rozmiar pakietu DNS nie odpowiada oczekiwanemu rozmiarowi, parametr rozmiaru w wywołaniu memset przyjmuje wartość ujemną. Ponieważ jest to wartość bez znaku, memset zapisuje do 0xffffffff zer, co prowadzi do awarii dnsmasq.

Dnsmasq w wersjach przed 2.76 umożliwia zdalnym serwerom spowodowanie awarii (denial of service) poprzez odpowiedź z pustym adresem DNS, który ma zdefiniowany lokalnie rekord (1) A lub (2) AAAA.

W dnsmasq stwierdzono podatność odczytu poza zakresem sterty w walidacji DNSSEC, która umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez spreparowany pakiet DNS.

Walidacja DNSSEC w dnsmasq zawiera podatność na odmowę usługi (DoS). Zdalny atakujący może wysłać spreparowany pakiet DNS, powodując awarię usługi.

W dnsmasq przed wersją 2.78 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na spowodowanie awarii usługi (crash) lub wykonanie dowolnego kodu poprzez spreparowaną odpowiedź DNS.

W dnsmasq przed wersją 2.78 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do spowodowania awarii usługi lub wykonania dowolnego kodu poprzez spreparowane żądanie DHCPv6.

W dnsmasq przed wersją 2.78 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na spowodowanie awarii usługi (crash) lub wykonanie dowolnego kodu poprzez spreparowane żądanie ogłoszenia routera IPv6.

W dnsmasq wykryto błąd: gdy funkcja DHCP leasequery jest włączona bez listy dozwolonych adresów źródłowych, serwer nie sprawdza nadawcy zapytania. Host w sieci lokalnej może odpytać o rekordy dzierżaw DHCP i poznać przypisane adresy, adresy MAC, nazwy hostów oraz powiązane metadane. Funkcja jest domyślnie wyłączona, chyba że administrator ją włączy.

W dnsmasq parser nazwy hosta klienta DHCPv6 może odczytać jeden bajt poza końcem spreparowanej opcji FQDN, ponieważ sprawdza długość kolejnej etykiety przed potwierdzeniem, że wskaźnik nadal znajduje się w opcji. Atakujący w sieci lokalnej może to wywołać pojedynczym pakietem DHCPv6. Nadmiarowy bajt nie jest zwracany klientowi ani logowany, a awaria nie została wykazana.

W dnsmasq walidator DNSSEC może zapisać kilka bajtów poza buforem nazwy podczas konwersji nazw do i z formatu wire DNS, po zmniejszeniu wewnętrznych rozmiarów buforów. Atakujący mogący wymusić walidację spreparowanej odpowiedzi DNSSEC może nadpisać niewielką ilość sąsiednich metadanych sterty. Wsparcie DNSSEC nie jest domyślnie kompilowane i musi być dodatkowo włączone w czasie działania.

W dnsmasq resolver podczas podążania za rekordem CNAME może zapisać w pamięci podręcznej rekordy dla celu CNAME bez sprawdzenia, czy należą one do autoryzowanej strefy serwera odpowiadającego. W wdrożeniach split-DNS atakujący kontrolujący określony upstream może wstrzyknąć wpisy cache dla niepowiązanych nazw.

Usługa DNS over TCP w dnsmasq korzysta z małej, stałej puli procesów potomnych i nie ustawia limitu czasu odbioru dla połączeń klientów. Zdalny atakujący może otworzyć bezczynne połączenia TCP na porcie 53 i zająć całą pulę, blokując nowe połączenia TCP DNS oraz walidację DNSSEC wymagającą fallbacku TCP. Rozwiązywanie DNS przez UDP działa dalej, a zajęte sloty są zwalniane po stałym czasie życia.

Serwer TFTP w dnsmasq może serwować niewłaściwą zawartość pliku, ponieważ niedawno używany cache transferu nie jest unieważniany po zakończeniu transferu. Atakujący w sieci lokalnej mogący żądać pliku TFTP może spowodować, że późniejszy klient otrzyma wcześniej zbuforowane dane zamiast żądanego pliku. W środowiskach rozruchu sieciowego PXE może to podstawić zawartość rozruchową wybraną przez atakującego.

W funkcji find_soa() w pliku src/rfc1035.c programu dnsmasq występuje podatność na odczyt poza dozwolonym zakresem pamięci. Podczas parsowania rekordów NS, wywołanie extract_name() z parametrem extrabytes=0 nie sprawdza, czy dostępnych jest dodatkowych 10 bajtów dla pól o stałej długości. Zdalny atakujący kontrolujący strefę DNS może wykorzystać tę lukę poprzez spreparowaną odpowiedź NXDOMAIN, powodując 10-bajtowy odczyt poza stertą i potencjalny dostęp do nieaktualnych danych z poprzednich transakcji.

W dnsmasq odkryto przepełnienie bufora sterty. Gdy włączona jest walidacja DNSSEC i logowanie zapytań, logowanie odpowiedzi DS lub DNSKEY zawierających nieobsługiwane typy algorytmów lub skrótów może spowodować zapis poza koniec wewnętrznego bufora logowania. Zdalny atakujący może dostarczyć taką odpowiedź DNS, powodując awarię procesu dnsmasq i odmowę usługi.

W funkcji extract_addresses() w dnsmasq występuje przepełnienie bufora, które pozwala atakującemu na wywołanie odczytu poza dozwolonym obszarem sterty i awarię poprzez wykorzystanie nieprawidłowo sformatowanej odpowiedzi DNS, umożliwiając funkcji extract_name() przesunięcie wskaźnika poza koniec rekordu.

Przepełnienie bufora sterty w implementacji DHCPv6 w dnsmasq umożliwia lokalnemu atakującemu wykonanie kodu z uprawnieniami root.

Funkcja extract_name() w dnsmasq zawiera podatność na przepełnienie bufora sterty, co pozwala atakującemu na wstrzyknięcie fałszywych wpisów do pamięci podręcznej DNS. Może to prowadzić do przekierowania zapytań DNS na adres IP kontrolowany przez atakującego lub do odmowy usługi (DoS).