🐧 Отравление кэша DNS SAD: временное исправление для серверов и настольных компьютеров Linux

Появилась новая угроза отравления кеша DNS, которая носит название Side-channel AttackeD DNS (SAD DNS).

Эта новая атака работает следующим образом: SAD DNS позволяет хакерам перенаправлять трафик, предназначенный для определенного домена, на сервер под их контролем.

С помощью этой атаки они могут легко шпионить за вашим трафиком.

Это атака по побочным каналам сети может быть с серьезными последствиями для безопасности как пользователей, так и предприятий, даже если ваши серверы в Германии

Этот новый недостаток затрагивает операционные системы Linux (ядро 3.18-5.10), Windows Server 2019 (версия 1809) и новее, macOS 10.15 и новее, FreeBSD 12.1.0 и новее.

Что вам понадобится

• Доступ к машинам Linux, которые используют DNS в вашей сети
  
• Пользователь с привилегиями sudo

Как пользоваться скриптом

Скрипт, созданный BlueCat, на самом деле довольно прост и выглядит так:

#!/usr/bin/env bash
#
# THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS
# OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
# FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
# AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
# LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
# OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN
# THE SOFTWARE.
###########################################################################  
#
# Three options for installation. Choose one of the following:
#
# 1. Copy to /etc/cron.minutely
#
# 2. Copy the script to the DNS server. Create a file in /etc/cron.d with
#    the following syntax:
#
#    * * * * *root    /path/to/icmp_ratelimit.sh >/dev/null 2>&1
#
# 3. Create a user cron entry while using `crontab -e`
#
#    * * * * * /path/to/icmp_ratelimit.sh >/dev/null 2>&1
#
# - Change "/path/to" to match the exact location of the script.
# - Finally, make sure it is executable: chmod +x /path/to/icmp_ratelimit.sh
#
seconds="60"
while [[ ${seconds} -gt 0 ]]
do
     echo $((500 + ${RANDOM} % 1500)) > /proc/sys/net/ipv4/icmp_ratelimit
     echo $((500 + ${RANDOM} % 1500)) > /proc/sys/net/ipv6/icmp_ratelimit
    sleep .95
done

Примечание. BlueCat может обновлять скрипт для включения IPv6. Не забудьте проверить их официальную страницу GitHub, чтобы узнать о дальнейших обновлениях этого скрипта.

Скрипт будет делать то же, что и предстоящий патч Linux, и рандомизировать ограничение скорости.

Чтобы быть более конкретным, по словам Дэвида Максвелла, директора по безопасности программного обеспечения в BlueCat:

sudo nano /usr/local/bin/icmp_ratelimit.sh

sudo chmod u+x /usr/local/bin/icmp_ratelimit.sh

sudo crontab -e

*/10 * * * * flock -xn /root/.icmpratelimit-lock -c /usr/local/bin/icmp_ratelimit.sh