Windows was kwetsbaar voor aanval via dns-response

[Captain Kirk]

Een beveiligingslek dat Microsoft gisterenavond patchte maakte het mogelijk om computers door het versturen van een kwaadaardige dns-response volledig over te nemen. Het beveiligingslek bevond zich in de Windows DNSAPI en speelde bij Windows 8 en Server 2012 en nieuwere Windows-versies.

Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt onder andere domeinnamen naar ip-adressen. Computers versturen tijdens het browsen of streamen van muziek en video's allerlei dns-requests, waarop een response volgt. Ook als de computer niet door de gebruiker wordt gebruikt zal die dns-requests sturen, bijvoorbeeld als er naar Windows-updates wordt gezocht.

In de meeste gevallen komt de dns-response niet direct bij de applicatie terecht die de request verstuurde, maar gaat die eerst via de dns-cachingservice. Deze service bewaart de response voor hergebruik, wat het aantal dns-requests beperkt dat het systeem moet versturen. De Windows dns-client blijkt dns-responses echter niet voldoende te controleren. Een geprepareerde dns-response kan het geheugen van de dns-client corrumperen, waardoor een aanvaller willekeurige code op het systeem kan uitvoeren.

De kwetsbaarheid werd ontdekt door Nick Freeman van securitybedrijf Bishop Fox. Volgens Freeman zou een aanvaller van het beveiligingslek gebruik kunnen maken als hij controle over de dns-server van de gebruiker heeft, bijvoorbeeld via een man-in-the-middle-aanval. Een aanvaller zou hiervoor zijn eigen kwaadaardige hotspot kunnen opzetten of gebruikers van een gedeeld wifi-netwerk kunnen aanvallen.

Via de aanval is het mogelijk om met verschillende rechten code uit te voeren. Als de dns-cachingservice crasht zal de volgende dns-response direct naar de applicatie gaan die het verzoek deed. Dit houdt in dat de aanvaller de dns-cachingservice kan laten crashen en wachten tot een applicatie met hoge rechten, zoals Windows Update, een request verstuurt. Daarbij kan een aanvaller het lek een onbeperkt aantal keer aanvallen. De gebruiker merkt het namelijk niet als de dns-cachingservice crasht. De service zal zich daarnaast zelf weer herstarten. De update die het probleem verhelpt wordt op de meeste systemen automatisch geïnstalleerd.

 

 

bron: security.nl