20 dolarla RCE elde edip tesadüfen .mobi yöneticisi olma hikâyesi

Özet

• Araştırmanın arka planı

  • Araştırma, meslektaşlarla birlikte eğlencesine başladı.
  • WHOIS istemcisindeki zafiyetlerin gerçek dünyada istismar edilip edilemeyeceği araştırıldı.
  • .MOBI TLD'sinin WHOIS sunucusunun taşındığı ve eski alan adının süresinin dolduğu fark edildi.
  • Alan adı 20 dolara satın alındı ve WHOIS sunucusu yapılandırıldı.

• Araştırma sonuçları

  • 135.000'den fazla sistem WHOIS sunucusuna sorgu gönderdi.
  • Başlıca sorgu kaynakları: .GOV, .MIL kuruluşları, siber güvenlik araçları ve şirketleri.
  • Sertifika otoriteleri, alan adı sahibini doğrulamak için WHOIS sunucusunu kullanıyordu.
  • GlobalSign aracılığıyla microsoft.mobi alan adının sahip e-postası [e-mail] olarak ayarlanabildi.
  • Bu da CA sürecini etkisiz hale getiren bir sonuç doğurdu.

• Saldırı senaryosu

  • WHOIS istemcisi zafiyetlerini istismar etmek için şu koşullar gerekiyor:
    • MiTM saldırısı
    • WHOIS sunucusuna erişim
    • WHOIS referral ayarı
  • Araştırma ekibi, WHOIS sunucusunu kurup gerçekten sorgu alarak saldırının mümkün olduğunu kanıtladı.

• Somut zafiyetler

  • phpWHOIS (CVE-2015-5243): WHOIS sunucusundan alınan veriler PHP eval fonksiyonuyla çalıştırılarak RCE oluşuyor.
  • Fail2Ban (CVE-2021-32749): WHOIS istemcisi çıktısı düzgün doğrulanmadığı için komut enjeksiyonu zafiyeti oluşuyor.

• Gerçek dünyadaki etkiler

  • İnternet altyapısının büyük kısmı hâlâ eski WHOIS sunucularını referans alıyor.
  • Büyük alan adı kayıt şirketleri, WHOIS özellikli web siteleri ve siber güvenlik araçları etkileniyor.
  • TLS/SSL sertifika otoriteleri, alan adı sahipliğini doğrulamak için WHOIS verilerini kullanıyor.

• Çözüm

  • Araştırma ekibi, ShadowServer ile birlikte dotmobiregistry.net alan adını bir sinkhole sistemine dönüştürdü.
  • Araştırma bulguları, legacy altyapı sorunlarını ve TLS/SSL sertifika otoritelerinin zayıflıklarını öne çıkarıyor.

GN⁺ özeti

• Bu araştırma, WHOIS istemcisi zafiyetlerinin gerçek dünyada istismar edilebileceğini kanıtlıyor.
• TLS/SSL sertifika otoritelerinin alan adı sahipliği doğrulama süreçlerinin kolayca etkisiz hale getirilebildiğini gösteriyor.
• İnternet altyapısının büyük kısmı eski WHOIS sunucularını referans aldığı için güvenlik riski yüksek.
• Bulgular, legacy altyapıların sorunlarını ve TLS/SSL sertifika otoritelerinin zayıflıklarını vurguluyor.
• Benzer işlevlere sahip projelerden biri Let's Encrypt.

[GN⁺]

Hacker News yorumları

• Alan adlarının asla süresinin dolmasına izin verilmemeli

  • Bir alan adını işletmeyle ilişkilendirirseniz onu sonsuza kadar yenilemeniz gerekir

• İnternetin yok olacağından korkuyorum

  • Birisi bir otel odasında Raspberry Pi ile interneti mahvedebilir

• WHOIS sunucu listelerini hardcode eden araçlarla ilgili soru işaretleri

  • DNS'te kaydetmenin standart bir yolu var ama birçok TLD'nin kaydı yok
  • Örnek: dig _nicname._tcp.fr SRV +noall +answer

• Eski alan adlarını yenilemek önemli

  • Bir alan adını kullanıyorsanız ekip dağılana kadar yenilemeniz gerekir
  • Eski alan adından ne zaman vazgeçileceğini bilmek zor

• dotmobiregistry.net alan adı ShadowServer'ın sinkhole sistemine yönlendiriliyor

  • Alan adı devre dışı bırakılacaksa 404 döndürmek daha iyi

• Bilgisayar güvenliğine yaklaşım başarısız olmaya mahkum

  • SBOM kontrolleri ve sık güncellemelerle kusursuz güvenliğe ulaşmak imkansız
  • Tüm sistemlerde her zaman hatalar ve zafiyetler olacak

• Süresi dolmuş WHOIS sunucu alan adlarını satın alarak elde edilen saldırı yüzeyi muazzam

• WHOIS için gerçek çözüm RDAP

  • ccTLD'ler için zorunlu değil ve birçok non-ccTLD çalışmıyor
  • İlgili bağlantı: Registration Data Access Protocol

• Logların veritabanında saklanması ilginç

  • sqlite3 whois-log-copy.db "select source from queries"|sort|uniq|wc -l komutunun kullanımına dair soru işaretleri

• Sorunu çözmeye yönelik çabalara rağmen durum daha da kötüleşiyor

  • Karşı taraftakiler parsing sorunlarını düzeltmiş olsaydı daha iyi sonuç alabilirlerdi