Descubrimiento de nuevas amenazas en el protocolo DNS
El protocolo DNS, esencial para la navegación en Internet, utiliza diversos mecanismos para garantizar su disponibilidad, seguridad y confiabilidad. Sin embargo, investigadores de la Universidad Tsinghua de Pekín han revelado que estos mecanismos pueden ser explotados como vectores de ataque. El estudio presenta un nuevo tipo de ataque Denial of Service (DoS) denominado DNSBomb.
Funcionamiento del ataque DNSBomb
DNSBomb explota múltiples mecanismos del protocolo DNS, como el tiempo de espera, la agregación de consultas y las respuestas rápidas. El ataque se basa en la acumulación de consultas DNS enviadas a baja velocidad, seguido de una amplificación de las respuestas para generar tráfico de gran tamaño. Estas respuestas se envían en ráfagas periódicas cortas y de alto volumen, con el objetivo de saturar los sistemas de destino.
Impacto potencial del ataque
La investigación evaluó 10 software DNS convencionales, 46 servicios DNS públicos y aproximadamente 1,8 millones de solucionadores DNS abiertos. Los resultados muestran que todos estos sistemas podrían ser explotados para llevar a cabo ataques DNSBomb más prácticos y potentes que los ataques DoS conocidos anteriormente.
Resultados experimentales
Los experimentos a pequeña escala demostraron que el pulso de tráfico generado por DNSBomb puede alcanzar hasta 8,7 Gb/s. Además, el factor de amplificación del ancho de banda superó las 20.000 veces. Los ataques controlados provocaron la pérdida total de paquetes o la degradación del servicio en conexiones con y sin estado (TCP, UDP y QUIC).
Soluciones propuestas por los investigadores
El estudio también presenta soluciones de mitigación efectivas, acompañadas de evaluaciones detalladas. Los investigadores informaron responsablemente sus hallazgos a todos los proveedores afectados y recibieron el reconocimiento de 24 de ellos, quienes están parcheando su software utilizando las soluciones propuestas.
Asignación de CVE-ID
Se han asignado los siguientes identificadores CVE:
- Industry-wide: CVE-2024-33655
- Knot: CVE-2023-49206
- Simple DNS Plus: CVE-2023-49205
- Technitium: CVE-2023-28456, CVE-2023-49203
- MaraDNS: CVE-2023-49204
- Dnsmasq: CVE-2023-28450, CVE-2023-49207
- CoreDNS: CVE-2023-28454, CVE-2023-49202
- SDNS: CVE-2023-49201
Presentación en conferencia de seguridad
La investigación se presentó durante la 45th IEEE Symposium on Security and Privacy (Oakland).
