https://www.informationsecurity.com.tw/Seminar/2024_TNSP/
https://www.informationsecurity.com.tw/Seminar/2024_TNSP/

新聞

Akamai 示警 Active Directory DNS 欺騙缺陷

2023 / 12 / 11
編輯部
Akamai 示警 Active Directory DNS 欺騙缺陷
Akamai Technologies Inc. 的安全研究員 Ori David 最近在一篇部落格文章中警告表示,DNS、Active Directory和動態主機設定協議(DHCP)的整合可能產生潛在的網路安全威脅。
 
這個問題源自於微軟的DNS動態更新功能。DHCP 是一種高效的協議,可自動分配網路上的 TCP/UIP 位址,以防止設備之間出現任何位址衝突。動態更新功能可讓 DHCP 伺服器為「任何」連線的用戶端產生或「修改」DNS 記錄。
 
上述的「任何」、「修改」就是威脅的核心。這不是微軟的程式漏洞或忽視,研究人員表示,DHCP就像一種兩面刃,在不需要使用者憑證的條件下,網路流量公司可以改寫DNS紀錄,將流量發送到自己的伺服器; 同時,駭客也可以利用這個管道進行攻擊,包含欺騙 DNS 記錄、破壞 Active Directory 並竊取其中存儲的機密。

透過 DHCP 更新 DNS 記錄不需要用戶端身份驗證。這使得攻擊者無需任何憑證即可使用 DHCP 伺服器向 DNS 伺服器進行身份驗證。

除了建立不存在的 DNS 記錄之外,攻擊者還可以覆蓋現有資料,包括 ADI 區域中的 DNS 記錄,尤其是在網域控制站上安裝了 DHCP 伺服器的情況下。據 Akamai 紀錄,他們監控的57%網路都會出現這種情況。

研究人員說明,無需任何身份驗證即可覆蓋 DNS 記錄的能力使攻擊者能夠在網域中的主機上獲得中間機器位置。在大多數情況下,攔截發送至 DHCP 伺服器的通訊的能力可能會被濫用來攔截憑證,同時中繼它們或捕獲可能安裝在伺服器上的其他服務的敏感流量。這很容易暴露敏感資訊,並可能允許攻擊者突破 AD 域並提升權限。

Akamai 已將此發現通知Microsoft,但微軟無意解決該問題。

專家敦促組織禁用 DHCP DNS 動態更新功能並避免使用 DNSUpdateProxy,以最大程度地降低風險。