Amazon與Google修補其DNS服務(wù)平臺的漏洞

云計算安全企業(yè)Wiz在本周舉行的黑帽大會上，披露了一個有關(guān)DNS的安全漏洞，使用新穎的手法來挾持DNS服務(wù)供應(yīng)商的節(jié)點，以竊聽DNS流量，進(jìn)而描繪出連接DNS服務(wù)的組織內(nèi)部網(wǎng)絡(luò)架構(gòu)。盡管該漏洞被Wiz視為屬于“國際水域”，也即是個三不管地帶，但包括Amazon及Google都先行著手修補了相關(guān)漏洞。

圖片來源_黑帽大會

Wiz說明，DNS托管服務(wù)是個自助式的平臺，允許客戶更新其域名名稱及其所指向的名稱服務(wù)器，客戶得以添加任何想要的域名名稱，而且不會驗證域名名稱的所有人。此次Wiz團(tuán)隊則在擁有2,000個DNS服務(wù)器的Amazon Route53上進(jìn)行測試，于Route53上注冊了一個與其官方DNS服務(wù)器同名的名稱服務(wù)器，準(zhǔn)確地說，是在AWS的名稱服務(wù)器上創(chuàng)建一個新的托管區(qū)域，并以AWS的DNS服務(wù)器命名。

這使得Wiz取得了該托管區(qū)域的部分控制權(quán)，并將它指向Wiz自家的IP地址。于是，只要DNS客戶向該名稱服務(wù)器進(jìn)行查詢，相關(guān)的流量便會直接跳轉(zhuǎn)至Wiz。

之后Wiz即開始接收到來自全球超過100萬個獨立終端的大量查詢流量，這些流量來自全球1.5萬個組織，涉及Fortune 500企業(yè)與上百個政府機(jī)構(gòu)，除了發(fā)現(xiàn)它們是來自于Windows機(jī)器的動態(tài)DNS流量之外，流量也透露出這些組織的內(nèi)／外IP地址、計算機(jī)名稱、員工名稱，以及辦公室位置。

Wiz的研究主管Shir Tamari表示，借由分析這些流量，他們得以取得一家全球最大服務(wù)企業(yè)的全球員工與辦公室位置，還發(fā)現(xiàn)有些企業(yè)在伊朗及緬甸設(shè)有辦公室，違反了美國外國資產(chǎn)控制辦公室（Office of Foreign Assets Control，OFAC）的規(guī)定。

該漏洞現(xiàn)身的原因之一是Windows所提供的動態(tài)DNS設(shè)置，讓W(xué)indows設(shè)備得以自動更新變更IP地址的DNS服務(wù)器，只是當(dāng)Wiz向微軟通報時，微軟卻說這并不是一個安全漏洞，而是客戶在部署外部DNS解析器的配置錯誤。

不過，包括Amazon Route53與Google Cloud DNS都已修補了該問題，只是其它DNS平臺仍舊處于該風(fēng)險中。

Wiz則建議各大組織應(yīng)該要妥善地配置其DNS解析器，以避免動態(tài)DNS更新泄露其內(nèi)部網(wǎng)絡(luò)狀態(tài)。