2321 Letture
DNS rebinding attack: quando un'app locale può essere sfruttata per attacchi da remoto

DNS rebinding attack: quando un'app locale può essere sfruttata per attacchi da remoto

Cos'è e come funziona un attacco DNS rebinding: conosciuto ormai da molto tempo, è stato riportato in auge dal noto ricercatore Tavis Ormandy che ha spiegato come diversi software siano vulnerabili.

Ancora una volta Tavis Ormandy, noto ricercatore in forze presso il team Project Zero, ha colpito nel segno scoprendo che alcune applicazioni, capaci di attivare funzionalità server in ambito locale, possono diventare testa di ponte per sferrare attacchi da remoto.

Vi abbiamo detto che se sul router non sono aperte porte in ingresso e non è attivato l'inoltro del traffico verso il sistema connesso alla LAN dove è installato il componente server, un utente non autorizzato non può attivare una connessione remota (vedere Port scanner: scansione di tutte le porte sull'IP pubblico).

DNS rebinding attack: quando un'app locale può essere sfruttata per attacchi da remoto

Il DNS rebinding attack consente a un aggressore di superare il problema delle porte chiuse sul router.
In questo caso, infatti, l'attacco parte da una pagina web che provoca l'esecuzione di uno script malevolo lato client.
Certo, sappiamo che la cosiddetta same-origin policy consente l'accesso a quei soli contenuti che sono serviti dall'host che ha rilasciato lo script. La verifica dei nomi a dominio è uno dei tasselli essenziali per la corretta applicazione della policy.
L'attacco DNS rebinding supera la same-origin policy facendo uso del sistema per la risoluzione dei nomi a dominio in modo abusivo.

Il DNS rebinding attack viene sfruttato dai criminali informatici per farsi strada nelle reti locali altrui chiedendo al browser di accedere a indirizzi IP privati e restituendo il risultato dell'operazione agli aggressori.


Come funziona il DNS rebinding attack

All'atto pratico, l'aggressore registra un nome a dominio e fa in modo che la gestione dei DNS autoritativi sia in capo a un server DNS sotto il suo controllo esclusivo.
Il server viene configurato per rispondere alle richieste dei client con un valore TTL (time-to-live) molto basso. Il parametro TTL, nel caso di un record DNS, indica per quanto tempo può essere ritenuto valido.
Indicando un valore TTL bassissimo, l'aggressore evita che la risposta fornita dal suo server DNS possa essere mantenuta in cache dal client.


Quando la vittima inizia a "navigare" sul sito dell'aggressore, il server DNS malevolo dapprima risponde con l'indirizzo IP del server che ospita il codice client side.
Tale codice provvede quindi ad effettuare ulteriori accessi al dominio gestito dai criminali informatici. Purtuttavia, quando il browser eseguirà lo script, dovrà effettuare una nuova richiesta di risoluzione del nome a dominio. Il server DNS malevolo restituirà un nuovo indirizzo IP, questa volta l'IP di loopback 127.0.0.1.

Utilizzando questo "giochetto", l'aggressore può distribuire sul web codice JavaScript che tenti l'attacco facendo leva sulle vulnerabilità di software conosciuti, installati in locale e dotati di funzionalità server (che restano in ascolto su determinate porte).

Non solo. A seconda del software preso di mira, i criminali informatici hanno la possibilità di inviare comandi da remoto, spiare all'interno delle cartelle condivise, installare file e librerie e molto altro ancora.

Quali sono i software vulnerabili

Ormandy ha scoperto che sono potenzialmente vulnerabili al DNS rebinding attack molteplici software tra cui Transmission, noto client BitTorrent, e il software agent installato con tutti i videogiochi Blizzard.

Il problema, fortunatamente, è stato risolto in entrambi i casi ma Ormandy sostiene che in circolazione vi siano moltissimi altri programmi sfruttabili per eseguire l'attacco.

Qui è pubblicata l'analisi del ricercatore a proposito di Transmission e in questa pagina quella relativa ai prodotti Blizzard.

Impostando server DNS come quelli di OpenDNS, che svolgono una continua azione di filtraggio, è possibile proteggersi dall'attacco DNS rebinding.


Come dimostra questa pagina, si tratta di una metodologia d'attacco conosciuta da molto tempo ma Ormandy ha dimostrato, ancora una volta, come gli sviluppatori software non possano dare nulla per scontato.

DNS rebinding attack: quando un'app locale può essere sfruttata per attacchi da remoto - IlSoftware.it