FYI & FWIW: Les détais de la faille DNS ont été rendus publics avant l'heure, il y a 3 jours. Vous avez dû voir les multiples articles techniques, blogs et interviews, dont voici un échantillon :
- http://blog.invisibledenizen.org/2008/07/kaminskys-dns-issue-accidentally-leaked.html - http://beezari.livejournal.com/141796.html - http://blog.wired.com/27bstroke6/2008/07/kaminsky-on-how.html (Interview de D. Kaminsky) - http://blog.wired.com/27bstroke6/2008/07/details-of-dns.html Et depuis hier, c'est le code source de programmes permettant l'exploitation sont publics : - http://www.caughq.org/exploits/CAU-EX-2008-0002.txt - http://metasploit.com/dev/trac/browser/framework3/trunk/modules/auxiliary/spoof/dns/baliwicked_host.rb?rev=5579 - Quelques articles sur ces exploitations : o http://blogs.zdnet.com/security/?p=1545 o http://blog.wired.com/27bstroke6/2008/07/dns-exploit-in.html À mon avis, il ne serait pas étonnat d'apprendre dans les jours qui viennent de vrais attaques à la pollution de cache chez des ISP qui n'ont pas (encore) fait le nécessaire (patch, patch, patch !) Mohsen. On 10 Jul, Mohsen Souissi wrote: | Bonjour, | | J'envoie ce message à titre personnel et ce message n'engage que moi | (et donc pas mon employeur) : | | On 10 Jul, Nicolas Haller wrote: | | On Thu, Jul 10, 2008 at 07:55:42AM +0200, Charles wrote: | | > Je suis surpris de ne pas avoir entendu parler de ça sur la liste | | | | > http://www.isc.org/index.pl?/sw/bind/bind-security.php | | > http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1447 | | > http://www.kb.cert.org/vuls/id/800113 | | | | > Je l'ai découvert hier via la ML d'OVH (merci Octave) et ce matin sur | | > France Inter (sic !) mais pas ici. | | | | > J'ai un peu honte d'être passé à côté en fait... | | | | > Est-ce que l'impact est très exagéré ? Qu'en pensez-vous ? | | | | L'histoire de ce trou est assez atypique en fait. Il a été découvert il | | y a quelque mois et les "fabriquants" de serveurs dns ont maintenu un | | silence de plomb pour que tout le monde sortent son patch en synchro. | | | | Maintenant sur le trou, l'isc place la sévérité à low. Mais ce qui | ^^^ | | ==> Attention ! Je ne sais pas où vous avez trouvé cette info, mais | moi je m'alimente à la source et je lis "Severity High" (c'est dans le | premier URL que cous citez ci-dessus) : | | http://www.isc.org/index.pl?/sw/bind/bind-security.php | | | m'inquiète le plus c'est que le trou se trouve dans la conception même | | du protocole et que les patch ne font que rendrent l'attaque plus | | compliqué. | | | | Sur les conséquences, le trou s'applique que sur les dns resolvers. Par | | conséquent, les serveurs les plus gênants sont les serveurs dns que les | | isp donnent à leurs clients par exemple. Vu que les systèmes dans les | | coeurs de nos réseaux sont servis, en général, par des machines dédiées | | à ça en interne et ne servent pas l'exterieur, cela "protège" les | | infrastructures je pense. | | ==> Attention ! Vous semblez parler des serveurs récursifs de la | protection des serveurs récursifs "non ouverts" vs "ouverts". D'après | http://www.kb.cert.org/vuls/id/800113 cette faille touche les serveurs | OUVERTS et NON OUVERTS, même si la difficulté de l'attaque n'est pas | forcément la même (un paragraphe subtile à la section "II Solution ; | "Restrict Access" explique l'intérêt à être prudent). | | Pour info, l'AFNIC a relayé hier cette alerte à l'ensemble de ces | bureaux d'enregistrement (registrars) dont une bonne partie sont des | ISP. Vous pouvez par exemple lire : | http://operations.nic.fr/fr/2008/07/09/vuln-rabilit-d-couverte-dans-le-dns-mises-jour-n-cessaires.html | | | Sur la façon dont est sorti le patch, la synchro part d'une bonne | | intention mais il me semble que les projets des différents OS n'ont pas | | été mis dans la confidence. Hier en quittant le boulot, FreeBSD n'avait | | pas sorti de patch pour le BIND de son base system. Je ne connais pas la | | situation sur les autres os/distrib. | | ==> Oui en effet, certains éditeurs d'OS semblent ne pas réagir à temps. | | | Enfin pour l'avenir, vu que le trou est dans le protocole, peut-être | | verrons-nous arriver le DNS 2.0 qui sera plus interactif et faisant | | participer activement l'utilisateur! (désolé pour le trip :-) | | ==> Comme le sera sans doute l'IP collaboratif 2.0, à commencer par le | BGP collaboratif 2.0 ;-) | | Mohsen. | --------------------------- | Liste de diffusion du FRnOG | http://www.frnog.org/ --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
