Microsoft emitió una guía sobre cómo mitigar una vulnerabilidad de envenenamiento de caché de DNS informada por investigadores de seguridad de la Universidad de California y la Universidad de Tsinghua.
Aprovechar con éxito la vulnerabilidad podría permitir a los atacantes utilizar registros DNS modificados para redirigir un objetivo a un sitio web malicioso bajo su control como parte de los ataques de suplantación de DNS (también conocido como envenenamiento de caché de DNS).
El objetivo final de estos ataques es explotar las vulnerabilidades del software o del dispositivo para infectar al objetivo con malware o recopilar información confidencial a través de una página de inicio de phishing.
Afecta a múltiples plataformas de servidor de Windows
La vulnerabilidad de suplantación de direcciones, rastreada como CVE-2020-25705 y apodada SAD DNS (DNS AttackeD de canal lateral), existe en el componente de software de resolución de DNS de Windows que viene incluido con la pila de Protocolo de control de transmisión de Windows / Protocolo de Internet (TCP / IP) .
“Microsoft es consciente de una vulnerabilidad que involucra el envenenamiento de la caché de DNS causada por la fragmentación de IP que afecta al Resolver DNS de Windows”, explica la compañía en un aviso de seguridad publicado como parte del Patch Tuesday de este mes.
“Un atacante que aproveche con éxito esta vulnerabilidad podría falsificar el paquete DNS que puede ser almacenado en caché por el reenviador de DNS o el solucionador de DNS”.
SAD DNS está clasificado por Microsoft como de gravedad ‘Importante’ y solo afecta a las plataformas de servidor de Windows, entre Windows Server 2008 R2 y Windows 10, versión 20H2 (Instalación de Server Core).
Mitigación CVE-2020-25705
Para mitigar esta vulnerabilidad, los administradores de Windows pueden modificar el Registro para cambiar el tamaño máximo del paquete UDP a 1221 bytes, lo que bloquearía cualquier ataque de envenenamiento de la caché DNS que intente explotarlo en dispositivos vulnerables.
Para hacer eso, los administradores deben seguir el siguiente procedimiento:
- Ejecute regedit.exe como administrador.
- En el Editor del registro, navegue hasta la subclave
HKLMSYSTEMCurrentControlSetServicesDNSParametersy configure los siguientes parámetros:- Valor: MaximumUdpPacketSize
- Tipo: DWORD
- Datos: 1221
- Cierre el Editor del registro y reinicie el servicio DNS.
Después de la actualización del registro, el sistema de resolución de DNS cambiará a TCP para todas las respuestas de más de 1221 bytes, bloqueando automáticamente cualquier ataque CVE-2020-25705.
Según los investigadores que descubrieron SAD DNS, CVE-2020-25705 también afecta a otros sistemas operativos además de Windows, incluidos Linux, macOS y FreeBSD, así como a otros solucionadores de DNS que incluyen, entre otros, BIND, Unbound y dnsmasq.
