Akamai 示警 Active Directory DNS 欺騙缺陷

Akamai Technologies Inc. 的安全研究員 Ori David 最近在一篇部落格文章中警告表示，DNS、Active Directory和動態主機設定協議(DHCP)的整合可能產生潛在的網路安全威脅。
 
這個問題源自於微軟的DNS動態更新功能。DHCP 是一種高效的協議，可自動分配網路上的 TCP/UIP 位址，以防止設備之間出現任何位址衝突。動態更新功能可讓 DHCP 伺服器為「任何」連線的用戶端產生或「修改」DNS 記錄。
 
上述的「任何」、「修改」就是威脅的核心。這不是微軟的程式漏洞或忽視，研究人員表示，DHCP就像一種兩面刃，在不需要使用者憑證的條件下，網路流量公司可以改寫DNS紀錄，將流量發送到自己的伺服器； 同時，駭客也可以利用這個管道進行攻擊，包含欺騙 DNS 記錄、破壞 Active Directory 並竊取其中存儲的機密。

透過 DHCP 更新 DNS 記錄不需要用戶端身份驗證。這使得攻擊者無需任何憑證即可使用 DHCP 伺服器向 DNS 伺服器進行身份驗證。

除了建立不存在的 DNS 記錄之外，攻擊者還可以覆蓋現有資料，包括 ADI 區域中的 DNS 記錄，尤其是在網域控制站上安裝了 DHCP 伺服器的情況下。據 Akamai 紀錄，他們監控的57%網路都會出現這種情況。

研究人員說明，無需任何身份驗證即可覆蓋 DNS 記錄的能力使攻擊者能夠在網域中的主機上獲得中間機器位置。在大多數情況下，攔截發送至 DHCP 伺服器的通訊的能力可能會被濫用來攔截憑證，同時中繼它們或捕獲可能安裝在伺服器上的其他服務的敏感流量。這很容易暴露敏感資訊，並可能允許攻擊者突破 AD 域並提升權限。

Akamai 已將此發現通知Microsoft，但微軟無意解決該問題。

專家敦促組織禁用 DHCP DNS 動態更新功能並避免使用 DNSUpdateProxy，以最大程度地降低風險。