Alerta de vulnerabilidad

Vulnerabilidad crítica en servicio Microsoft DNS

Se ha reportado una vulnerabilidad crítica de ejecución de código remoto sobre el servicio de DNS en productos Microsoft. Esta vulnerabilidad (CVE-2020-1350) podría permitir, a un atacante no autenticado, ejecutar código en forma remota sobre un servidor vulnerable.
dns

La vulnerabilidad del tipo RCE (Remote Code Execution), es considerada “wormable” (cuenta con la capacidad de esparcirse a otros equipos sin interacción del usuario) y está clasificada con un CVSS de 10/10. 

Si bien aún no se han reportado intentos de explotación, dicha vulnerabilidad podría permitirle a un atacante interceptar conexiones, modificar configuraciones y hasta generar inconsistencias en el funcionamiento del servicio por lo que se recomienda a los administradores a instalar los parches de seguridad que Microsoft liberó para remediar la vulnerabilidad. 

 Versiones afectadas: 

  • Windows Server 2003 

  • Windows Server 2008 

  • Windows Server 2008 R2 

  • Windows Server 2012 

  • Windows Server 2012 R2 

  • Windows Server 2016 

  • Windows Server 2019 

Recomendaciones 

Microsoft recomienda aplicar a la brevedad la actualización que corrige esta vulnerabilidad, es posible encontrar el listado dependiendo de su producto y versión en el siguiente enlace

En caso de no lograr la actualización de forma inmediata, Microsoft plantea como alternativa aplicar medidas de mitigación mediante una modificación a nivel de registro de Windows: 

Mitigación alternativa: 

El siguiente cambio de registro permite restringir el tamaño del paquete de respuesta DNS entrante basado en TCP más grande permitido: 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parámetros 

DWORD = TcpReceivePacketSize 

Valor = 0xFF00 

Nota: Debe reiniciar el servicio DNS para que el cambio de registro surta efecto. 

     El valor predeterminado (también máximo) = 0xFFFF 

     El valor recomendado = 0xFF00 (255 bytes menos que el máximo) 

Después de implementar la solución alternativa, un servidor DNS de Windows no podrá resolver los nombres DNS de sus clientes cuando la respuesta DNS del servidor ascendente sea mayor de 65280 bytes. 

Esta es una medida paliativa, se recomienda actualizar y mantener actualizado su servidor como recomienda el fabricante. 

Análisis 

La vulnerabilidad es posible debido a la ausencia de control en el tamaño del paquete TCP, el buffer receptor es desbordado permitiendo la ejecución de código. Este código inyectado se ejecuta con privilegios elevados dado que se ejecuta con los mismos permisos que el propio servicio de DNS afectado. Esta vulnerabilidad podría permitirle a un atacante interceptar conexiones, modificar configuraciones y hasta generar inconsistencias en el funcionamiento del servicio. 

La vulnerabilidad permite inicialmente enviar un “payload” al superar el límite de 65,535 bytes establecido para paquetes TCP, sin embargo, un atacante podría hacer uso de la funcionalidad de compresión de registros de DNS para poder incrementar el tamaño total.  

Si bien una consulta de 64KB en el servicio DNS a través de TCP no es suficiente para generar el desbordamiento en situaciones habituales, dada una consulta especialmente formulada, la suma de los caracteres y argumentos adicionales en la consulta original permite alcanzar un largo superior al previamente mencionado. 

Para lograr explotar la vulnerabilidad en el servidor DNS vulnerable, este debe recibir una consulta especialmente elaborada y reenviar la consulta a otro servidor autoritativo para el dominio recibido en la consulta original. Esa consulta es recibida por un servidor DNS controlado por el atacante, cuya respuesta logra la explotación de la vulnerabilidad en el servidor DNS víctima.  

Es necesario notar que también es posible realizar la explotación de la misma en forma remota desde un navegador de internet. Esto podría realizarse engañando a usuarios dentro de una organización a abrir un correo especialmente diseñado para atacar a un servidor de DNS interno de la organización.  

Referencias 

Actualización de seguridad de julio de 2020 en el Centro de respuesta de seguridad de Microsoft

Guía para la vulnerabilidad del servidor DNS CVE-2020-1350 en Centro de ayuda de Microsoft

Vulnerabilidad de ejecución remota de código en el servidor DNS de Windows en Centro de ayuda de Microsoft 

Vulnerabilidad en la lista CVE

 

 

 

Etiquetas