Faille DNS : des détails techniques révélés accidentellement

maverick Ven 25 Juil - 12:02

Faille DNS : des détails techniques révélés accidentellement

Des détails techniques relatifs à la fameuse faille DNS qui a fait la une de la presse en début de mois ont été publiés par accident sur un blog consacré à la sécurité informatique.
On attribue à Dan Kaminsky, responsable des tests d'intrusion chez IOActive, la découverte d'une vulnérabilité DNS qui aurait pu mettre à mal l'Internet mondial. Un certain mystère plane encore sur cette faille, et des spécialistes de la sécurité informatique qui commencent à s'interroger sur sa réelle dangerosité, attendent avec impatience la prochaine conférence Black Hat de Las Vegas au cours de laquelle Kaminsky a prévu de divulguer des détails techniques. A l'approche de ce rendez-vous, ce dernier a d'ailleurs demandé à ses pairs du domaine de la sécurité informatique de ne pas spéculer à ce sujet. Une recommandation qui n'a pas été du goût de tous.

En début de semaine, Halver Flake, spécialiste du reverse engineering et PDG de Zynamics, a donc commencé à... spéculer dans un billet publié sur le blog ADD / XOR / ROL. Etrangement, un chercheur de la société Matasano Security parfaitement au courant des tenants et aboutissants de la fameuse faille DNS qui a demandé une large collaboration pour l'élaboration d'un correctif, ou du moins son déploiement, n'a pu se résoudre à tenir sa langue et a donné du crédit à certaines hypothèses émises par Flake dans le cadre d'un billet posté cette fois-ci sur le blog de Matasano. Il a ainsi indiqué que Flake avait compris la vulnérabilité de Kaminsky.

Une terrible erreur selon Matasano qui a retiré le plus vite possible son billet. Trop tard, la nouvelle s'est vite répandue et les caches sont entrés en action. Regrettant cette boulette interne, Matasano a présenté ses excuses à Kaminsky dont les annonces n'auront probablement pas la même saveur à la conférence Black Hat.

Plus que jamais, il convient donc d'appliquer les correctifs prodigués dans le cadre de mises à jour par différents éditeurs dont Microsoft. Rappelons que la dite vulnérabilité exploitable via une attaque par DNS cache poisoning peut permettre de rediriger le trafic Web et mail vers un système sous contrôle d'un pirate. Les serveurs DNS qui font le lien entre une adresse IP et un nom de domaine, disposent d'un cache pour garder en mémoire ces informations. La vulnérabilité permet " d'empoisonner ce cache " pour mettre en mémoire des informations erronées.

Patch. Today. Now.
De son côté, suite à cette histoire, Dan Kaminsky ordonne de patcher " aujourd'hui ", " maintenant ". Il a mis en ligne un test http://www.doxpara.com/?p=1176 (DNS Checker) pour vérifier si la vulnérabilité a été comblée ou non (par son FAI par exemple), et conseille le cas échéant d'en passer par OpenDNS http://www.opendns.com/ afin d'orienter le trafic Internet.

Et voilà, la boulette interne de Matasano Security a eu les effets que l'on pouvait attendre avec la publication du premier exploit tirant parti de la vulnérabilité DNS qui a tant fait parler d'elle. Son découvreur Dan Kaminsky doit s'en mordre les doigts, lui qui au prix d'une véritable campagne marketing avait décidé de révéler les détails techniques de cette vulnérabilité le mois prochain, à l'occasion de la conférence Black Hat de Las Vegas. La publicité Kaminsky (et celle de sa société) a désormais pris du sérieux plomb dans l'aile.

D'orange, l'alerte passe au rouge
Reste que même sans le concours de Matasano, trop de personnes dans le petit monde de la sécurité informatique étaient au courant, et la publication d'un exploit semblait imminente. La soi-disant erreur de Matasano aura été le déclencheur.

Dans la description du code exploit qui n'est vraiment pas difficile à trouver, on peut lire qu'il s'en prend à une faille assez présente dans l'implémentation du protocole DNS qui permet l'insertion d'une entrée DNS malicieuse dans le cache du serveur DNS pris pour cible. Comme déjà évoqué, le principal risque tient du phishing avec une redirection du trafic vers un système sous le contrôle d'un pirate.