Für 20 US-Dollar RCE erreicht und zufällig Admin von .mobi geworden

Zusammenfassung

• Hintergrund der Untersuchung

  • Die Untersuchung begann aus Spaß gemeinsam mit Kollegen.
  • Es wurde erforscht, ob sich Schwachstellen in WHOIS-Clients in der Praxis ausnutzen lassen.
  • Es wurde festgestellt, dass der WHOIS-Server der .MOBI-TLD umgezogen war und die frühere Domain abgelaufen war.
  • Die Domain wurde für 20 US-Dollar gekauft und ein WHOIS-Server eingerichtet.

• Ergebnisse der Untersuchung

  • Mehr als 135.000 Systeme schickten Anfragen an den WHOIS-Server.
  • Wichtige Quellen der Anfragen: .GOV-, .MIL-Entitäten, Cybersecurity-Tools und Unternehmen.
  • Zertifizierungsstellen nutzten den WHOIS-Server zur Prüfung des Domaininhabers.
  • Über GlobalSign konnte die Eigentümer-E-Mail der Domain microsoft.mobi auf [e-mail] gesetzt werden.
  • Dies führte dazu, dass der CA-Prozess ausgehebelt werden konnte.

• Angriffsszenario

  • Um Schwachstellen in WHOIS-Clients auszunutzen, sind die folgenden Bedingungen erforderlich:
    • MiTM-Angriff
    • Zugriff auf den WHOIS-Server
    • Einrichtung eines WHOIS-Referrals
  • Das Forschungsteam bewies die praktische Angreifbarkeit, indem es einen WHOIS-Server einrichtete und tatsächlich Anfragen empfing.

• Konkrete Schwachstellen

  • phpWHOIS (CVE-2015-5243): Von einem WHOIS-Server empfangene Daten werden über die PHP-Funktion eval ausgeführt, wodurch RCE möglich ist.
  • Fail2Ban (CVE-2021-32749): Da die Ausgabe des WHOIS-Clients nicht korrekt validiert wurde, entstand eine Schwachstelle für Command Injection.

• Praktische Auswirkungen

  • Viel Internet-Infrastruktur verweist weiterhin auf veraltete WHOIS-Server.
  • Große Domain-Registrare, Websites mit WHOIS-Funktion und Cybersecurity-Tools sind betroffen.
  • TLS/SSL-Zertifizierungsstellen verwenden WHOIS-Daten zur Verifizierung des Domaininhabers.

• Gegenmaßnahmen

  • Das Forschungsteam arbeitete mit ShadowServer zusammen, um die Domain dotmobiregistry.net auf ein Sinkhole-System umzuleiten.
  • Die Ergebnisse unterstreichen die Probleme von Legacy-Infrastruktur und die Schwachstellen von TLS/SSL-Zertifizierungsstellen.

Zusammenfassung von GN⁺

• Diese Untersuchung belegt, dass sich Schwachstellen in WHOIS-Clients in der Praxis ausnutzen lassen.
• Sie zeigt, dass sich der Prozess zur Verifizierung des Domaininhabers bei TLS/SSL-Zertifizierungsstellen leicht aushebeln lässt.
• Da viel Internet-Infrastruktur weiterhin auf veraltete WHOIS-Server verweist, ist das Sicherheitsrisiko hoch.
• Die Ergebnisse unterstreichen die Probleme von Legacy-Infrastruktur und die Schwachstellen von TLS/SSL-Zertifizierungsstellen.
• Ein Projekt mit ähnlicher Funktion ist Let's Encrypt.

[GN⁺]

Hacker-News-Kommentare

• Man sollte Domains niemals ablaufen lassen

  • Wenn eine Domain mit einem Unternehmen verknüpft ist, muss sie für immer verlängert werden

• Angst, dass das Internet verschwindet

  • Jemand könnte mit einem Raspberry Pi in einem Hotelzimmer das Internet kaputtmachen

• Fragen zu Tools, die Listen von WHOIS-Servern hartkodieren

  • Es gibt eine standardisierte Methode zur Registrierung in DNS, aber bei vielen TLDs fehlen die Einträge
  • Beispiel: dig _nicname._tcp.fr SRV +noall +answer

• Es ist wichtig, alte Domains zu verlängern

  • Wenn man eine Domain nutzt, muss sie verlängert werden, bis das Team aufgelöst wird
  • Es ist schwer zu wissen, wann man eine alte Domain aufgeben sollte

• Die Domain dotmobiregistry.net wird auf das Sinkhole-System von ShadowServer umgeleitet

  • Wenn eine Domain außer Betrieb genommen werden soll, wäre es besser, einen 404-Status zurückzugeben

• Der Ansatz, den Computerzugang abzusichern, ist zum Scheitern verurteilt

  • Mit SBOM-Prüfungen und häufigen Updates ist perfekte Sicherheit unmöglich zu erreichen
  • Jedes System wird immer Bugs und Schwachstellen haben

• Die Angriffsfläche, die man durch den Kauf einer abgelaufenen WHOIS-Server-Domain erhält, ist enorm

• Die eigentliche Lösung für WHOIS ist RDAP

  • Für ccTLDs ist es nicht verpflichtend, und viele non-ccTLDs funktionieren nicht
  • Referenzlink: Registration Data Access Protocol

• Es ist interessant, dass die Logs in einer Datenbank gespeichert wurden

  • Fragen zur Verwendung des Befehls sqlite3 whois-log-copy.db "select source from queries"|sort|uniq|wc -l

• Trotz der Bemühungen, das Problem zu lösen, hat sich die Lage verschlechtert

  • Wenn die Gegenseite die Parsing-Probleme behoben hätte, wäre das Ergebnis besser gewesen