home *** CD-ROM | disk | FTP | other *** search
/ Tietokone-lehden Plus / Tietokone Plus CD 1998.iso / pc / ohjelmat / muut / hotfixes / postsp3 / dns-fix / q167629.txt < prev    next >
Text File  |  1997-08-12  |  4KB  |  82 lines
  1. DOCUMENT:Q167629    [winnt]
  2. TITLE: Predictable Query IDs Pose Security Risks for DNS Servers
  3. PRODUCT: Microsoft Windows NT
  4. PROD/VER:4.00
  5. OPER/SYS:WINDOWS
  6. KEYWORDS:kbbug4.00 kbnetwork NTSrv nttcp
  7.  
  8. --------------------------------------------------------------------------
  9. The information in this article applies to:
  10.  
  11.  - Microsoft Windows NT Server versions 4.0
  12. --------------------------------------------------------------------------
  13.  
  14. SYMPTOMS
  15. ========
  16.  
  17. An attacker can send a query to a DNS server asking for the IP address (for
  18. example, of www.microsoft.com.) The DNS server sends a recursive query on
  19. behalf of the client at which point the attacker floods the DNS server with
  20. responses indicating the IP address (for example, for www.microsoft.com it
  21. may return 127.0.0.1,) or any other incorrect response as desired by the
  22. attacker. The DNS server caches this result and subsequent queries for this
  23. site return the incorrect IP address. The cached entry can be set to live
  24. for an arbitrarily long time in the cache and is not purged until the DNS
  25. server is reset.
  26.  
  27. CAUSE
  28. =====
  29.  
  30. The Domain Name System (DNS) is used to resolve names with IP addresses and
  31. a DNS query can be sent to any DNS server. If the server does not have the
  32. authoritative answer to the query, it can ask other DNS servers in the DNS
  33. tree for the answer. This is called a recursive query. The result of a
  34. recursive query is cached by the originating DNS server to improve
  35. performance. A DNS server may have many outstanding recursive queries at
  36. any one moment in time and each outstanding query is identified by a query
  37. ID.
  38.  
  39. Microsoft Windows NT (and many other) DNS servers use a predictable
  40. sequence of query IDs when resolving recursive queries. If an attacker can
  41. determine the current sequence number, they can determine future sequence
  42. numbers. Knowledge of future sequence numbers helps an attacker flood a DNS
  43. server with spoofed responses to recursive queries. This makes a "cache
  44. pollution" attack easier to accomplish.
  45.  
  46. RESOLUTION
  47. ==========
  48.  
  49. The Microsoft DNS Server has been modified to use random query IDs. Random
  50. query IDs reduce the effectiveness of this cache pollution attack. Obtain
  51. the following fix, or wait for the next Windows NT service pack.
  52.  
  53. This hotfix has been posted to the following Internet location:
  54.  
  55.    ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/NT40/
  56.    hotfixes-postSP3/dns-fix
  57.  
  58. STATUS
  59. ======
  60.  
  61. Microsoft has confirmed this to be a problem in Windows NT version 4.0.
  62. A supported fix is now available, but has not been fully regression-tested
  63. and should be applied only to systems experiencing this specific problem.
  64. Unless you are severely impacted by this specific problem, Microsoft
  65. recommends that you wait for the next Service Pack that contains this fix.
  66. Contact Microsoft Technical Support for more information.
  67.  
  68. Additional query words: 4.00 prodnt
  69.  
  70. ============================================================================
  71.  
  72. THE INFORMATION PROVIDED IN THE MICROSOFT KNOWLEDGE BASE IS
  73. PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND.  MICROSOFT DISCLAIMS
  74. ALL WARRANTIES, EITHER EXPRESS OR IMPLIED, INCLUDING THE WARRANTIES
  75. OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE.  IN NO
  76. EVENT SHALL MICROSOFT CORPORATION OR ITS SUPPLIERS BE LIABLE FOR
  77. ANY DAMAGES WHATSOEVER INCLUDING DIRECT, INDIRECT, INCIDENTAL,
  78. CONSEQUENTIAL, LOSS OF BUSINESS PROFITS OR SPECIAL DAMAGES, EVEN IF
  79. MICROSOFT CORPORATION OR ITS SUPPLIERS HAVE BEEN ADVISED OF THE
  80. POSSIBILITY OF SUCH DAMAGES.  SOME STATES DO NOT ALLOW THE EXCLUSION
  81. OR LIMITATION OF LIABILITY FOR CONSEQUENTIAL OR INCIDENTAL DAMAGES
  82. SO THE FOREGOING LIMITATION MAY NOT APPLY.