Wiz安全研究人員發(fā)現(xiàn)了一種新的DNS漏洞，影響多個(gè)大的DNS即服務(wù)（DNSaaS，DNS-as-a-Service）提供商，攻擊者利用該漏洞可以從企業(yè)網(wǎng)絡(luò)訪問敏感信息。

　　漏洞分析

　　谷歌、微軟、亞馬遜等DNSaaS提供商都向其他企業(yè)和組織提供DNS租賃服務(wù)。Wiz安全研究人員在DNS中發(fā)現(xiàn)一個(gè)漏洞，攻擊者利用該漏洞可以攔截通過管理DNS提供商服務(wù)器的的動(dòng)態(tài)DNS流量。該問題產(chǎn)生的本質(zhì)原因是DNS解析器的非標(biāo)準(zhǔn)實(shí)現(xiàn)引發(fā)的，加上DNS服務(wù)提供商側(cè)的特定情況會(huì)引發(fā)企業(yè)內(nèi)部網(wǎng)絡(luò)信息泄露。攔截或泄露的信息包括內(nèi)部和外部IP地址、計(jì)算機(jī)名以及NTLM / Kerberos ticket。

　　漏洞利用的過程非常簡(jiǎn)單。只需要注冊(cè)一個(gè)域名并用該域名來劫持DNSaaS 提供商的域名服務(wù)器，然后就可以劫持該域名域名網(wǎng)絡(luò)上的動(dòng)態(tài)DNS流量。研究人員在實(shí)驗(yàn)中監(jiān)聽到的數(shù)據(jù)包括雇員名、計(jì)算機(jī)名、位置等與企業(yè)基礎(chǔ)設(shè)施相關(guān)的高度敏感信息。

　　圖片

　　研究人員在幾個(gè)小時(shí)的DNS嗅探實(shí)驗(yàn)中接收到了來自包括財(cái)富500強(qiáng)企業(yè)、45家美國(guó)政府機(jī)構(gòu)、85個(gè)國(guó)家政府機(jī)構(gòu)在內(nèi)的15000個(gè)企業(yè)的992597個(gè)Windows終端的動(dòng)態(tài)DNS流量。在部分企業(yè)中，有超過20000臺(tái)終端泄露了企業(yè)的相關(guān)信息。

　　漏洞影響

　　研究人員目前還尚未發(fā)現(xiàn)該DNS漏洞之前被利用的證據(jù)。但是該漏洞的影響非常大。研究人員在分析的6個(gè)主要的DNSaaS提供商中發(fā)現(xiàn)3個(gè)受到域名服務(wù)器注冊(cè)的影響。此外，所有提供DNSaaS的云服務(wù)提供商、域名注冊(cè)商、網(wǎng)站主機(jī)都可能受到該漏洞的影響。

　　安全補(bǔ)丁

　　目前，谷歌和亞馬遜這兩大DNS服務(wù)提供商已經(jīng)修復(fù)了漏洞，但其他廠商尚未公開修復(fù)的消息，使得上百萬設(shè)備處在潛在風(fēng)險(xiǎn)中。

　　微軟稱雖然動(dòng)態(tài)DNS算法允許Windows終端泄露內(nèi)部網(wǎng)絡(luò)流量給惡意DNS服務(wù)器，但這并不能算是一個(gè)安全漏洞。微軟進(jìn)一步解釋稱，該“漏洞”其實(shí)是一個(gè)企業(yè)內(nèi)部DNS解析時(shí)產(chǎn)生的錯(cuò)誤配置問題。