CVE-2020-25685
Açıklama
dnsmasq'in 2.83 versiyonundan önceki sürümlerinde bir açık bulundu. Yönlendirilen bir sorgudan yanıt alınırken dnsmasq, forward.c:reply_query() fonksiyonunda yanıta uyan yönlendirilmiş sorguyu yalnızca sorgu adının zayıf bir özetini (hash) kullanarak kontrol eder. Zayıf özetleme nedeniyle (dnsmasq DNSSEC olmadan derlendiğinde CRC32, derlendiğinde ise SHA-1), bu açık, ağ dışındaki (off-path) bir saldırganın aynı özete sahip birkaç farklı alan adı bulmasına olanak tanır; bu durum, sahte bir yanıt oluşturmak ve bunun dnsmasq tarafından kabul edilmesini sağlamak için yapmaları gereken deneme sayısını önemli ölçüde azaltır. Bu durum, sorgu adının, bir yanıtla eşleşmek için kullanılması gereken sorgu niteliklerinden biri olduğunu belirten RFC5452 ile çelişmektedir. Bu açık, bir DNS Önbellek Zehirlemesi (DNS Cache Poisoning) saldırısı gerçekleştirmek için kötüye kullanılabilir. CVE-2020-25684 ile zincirlendiğinde, başarılı bir saldırının karmaşıklığı azalır. Bu güvenlik açığından kaynaklanan en yüksek tehdit veri bütünlüğüne yöneliktir.
Nasıl düzeltilir
- thekelleys dnsmasq2.83 ya da sonraki bir sürüm
- arista eos4.21.14m, 4.22.9m, 4.23.7m, 4.24.5m, 4.25.2f ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WYW3IR6APUSKOYKL5FT3ACTIHWHGQY32/
- security.gentoo.org/glsa/202101-17
- debian.org/security/2021/dsa-4844
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QGB7HL3OWHTLEPSMLDGOMXQKG3KM2QME/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thekelleys dnsmasq | v < 2.83 | 2.83 |
| fedoraproject fedora | 32, 33 | — |
| debian debian_linux | 10.0 | — |
| arista eos | 4.21 ≤ v < 4.21.14m, 4.22 ≤ v < 4.22.9m, 4.23 ≤ v < 4.23.7m, 4.24 ≤ v < 4.24.5m, 4.25 ≤ v < 4.25.2f | 4.21.14m, 4.22.9m, 4.23.7m, 4.24.5m, 4.25.2f |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.