Amazon與Google修補其DNS服務平臺的漏洞

云計算安全企業(yè)Wiz在本周舉行的黑帽大會上，披露了一個有關DNS的安全漏洞，使用新穎的手法來挾持DNS服務供應商的節(jié)點，以竊聽DNS流量，進而描繪出連接DNS服務的組織內部網(wǎng)絡架構。盡管該漏洞被Wiz視為屬于“國際水域”，也即是個三不管地帶，但包括Amazon及Google都先行著手修補了相關漏洞。

圖片來源_黑帽大會

Wiz說明，DNS托管服務是個自助式的平臺，允許客戶更新其域名名稱及其所指向的名稱服務器，客戶得以添加任何想要的域名名稱，而且不會驗證域名名稱的所有人。此次Wiz團隊則在擁有2,000個DNS服務器的Amazon Route53上進行測試，于Route53上注冊了一個與其官方DNS服務器同名的名稱服務器，準確地說，是在AWS的名稱服務器上創(chuàng)建一個新的托管區(qū)域，并以AWS的DNS服務器命名。

這使得Wiz取得了該托管區(qū)域的部分控制權，并將它指向Wiz自家的IP地址。于是，只要DNS客戶向該名稱服務器進行查詢，相關的流量便會直接跳轉至Wiz。

之后Wiz即開始接收到來自全球超過100萬個獨立終端的大量查詢流量，這些流量來自全球1.5萬個組織，涉及Fortune 500企業(yè)與上百個政府機構，除了發(fā)現(xiàn)它們是來自于Windows機器的動態(tài)DNS流量之外，流量也透露出這些組織的內／外IP地址、計算機名稱、員工名稱，以及辦公室位置。

Wiz的研究主管Shir Tamari表示，借由分析這些流量，他們得以取得一家全球最大服務企業(yè)的全球員工與辦公室位置，還發(fā)現(xiàn)有些企業(yè)在伊朗及緬甸設有辦公室，違反了美國外國資產(chǎn)控制辦公室（Office of Foreign Assets Control，OFAC）的規(guī)定。

該漏洞現(xiàn)身的原因之一是Windows所提供的動態(tài)DNS設置，讓Windows設備得以自動更新變更IP地址的DNS服務器，只是當Wiz向微軟通報時，微軟卻說這并不是一個安全漏洞，而是客戶在部署外部DNS解析器的配置錯誤。

不過，包括Amazon Route53與Google Cloud DNS都已修補了該問題，只是其它DNS平臺仍舊處于該風險中。

Wiz則建議各大組織應該要妥善地配置其DNS解析器，以避免動態(tài)DNS更新泄露其內部網(wǎng)絡狀態(tài)。