SPD schließt Sicherheitslücken in ihrem DNS-Server nur teilweise

Nach Berichten von Evildaystar und ZDNet über eklatante Sicherheitslücken im DNS-Server der SPD dns2.spd.de (IP 195.50.146.131) hat die Partei nun reagiert und die Lücken teilweise geschlossen. Der SPD-Server erlaubte die rekursive Auflösung von allen Domains aus dem gesamten Internet und ließ einen AXFR-Transfer von seinen autoritativen Domains wie spd.de, frankwaltersteinmeier.de und wahlkampf09.de zu.

Durch die rekursive Auflösung wäre es möglich gewesen, einen DDoS-Angriff gegen den Server zu fahren. Auf diese Weise hätte man den Server durch eine Überlastung zum Totalausfall bringen können.

Mittels AXFR-Transfer war es jedermann möglich, die IP-Adressen des VPN-Zugangs und des Content-Management-Systems der SPD formelCMS des Herstellers CosmoCode auszulesen. Diese Informationen erlauben zwar alleine kein Hacken der SPD-Websites, stellen jedoch ein Puzzleteil für einen eventuellen Angriff dar.

Allerdings betreibt die SPD ihren DNS-Server weiter unter der Version Bind 9.3.1, die anfällig gegen die Kaminsky-Attacke ist. Damit lässt sich ein DNS-Server in etwa zehn Sekunden kapern, indem Domains auf eigene Websites umgeleitet werden.

Weil der SPD-Server Forwarder einsetzt und seit heute keine rekursive Auflösung mehr aus dem Internet erlaubt, können die Kaminsky-Attacke und andere Cache-Poisoning-Angriffe nicht mehr mit realistischen Erfolgsaussichten aus dem Internet ausgeführt werden. Ein Angreifer muss dazu aus einem Netz kommen, für das der SPD-Server bereit ist, den Resolver zu spielen. Die dürfte maximal die SPD-Parteizentrale in Berlin sein.