Alvorlig designfejl i DNSSEC opdaget

Af Henrik Jensen, 27/02/24

Designfejlen kan have konsekvenser for stort set alle DNSSEC-validerede DNS-implementeringer samt for offentlige DNS-udbydere såsom Google og Cloudflare.

Det Nationale Forskningscenter for Anvendt Cybersikkerhed (ATHENE) har opdaget en kritisk fejl i designet af DNSSEC, der som bekendt er sikkerhedsudvidelserne til DNS (Domain Name System).

ATHENE-teamet, ledet af prof. Dr. Haya Schulmann fra Goethe University Frankfurt, som har udviklet "KeyTrap" har opdaget en ny type angrebsvektorer, som ondsindede aktører med en enkelt DNS-pakke, kan udnytte til at stoppe alle udbredte DNS-implementeringer og offentlige DNS-udbydere. Udnyttelse af denne angrebstype kan have alvorlige konsekvenser for stort set alle systemer, der bruger internettet, herunder utilgængelighed af teknologier såsom web-browsing, e-mail og onlinemeddelelser.

Med KeyTrap kan en ondsindet aktør potentielt deaktivere store dele af internettet. Forskerne arbejdede med alle relevante leverandører og større offentlige DNS-udbydere over flere måneder, hvilket resulterede i en række leverandørspecifikke patches, de sidste offentliggjort tirsdag den 13. februar. Det anbefales stærkt for alle udbydere af DNS-tjenester at anvende disse patches øjeblikkeligt for at afbøde denne kritiske sårbarhed.

Løsningsforslag kan findes her: https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=CVE-2023-50387