Quand des noms d’hôtes internes fuitent vers le cloud

• Découverte d’un cas où l’interface web d’un NAS domestique envoie un nom d’hôte réservé à l’usage interne vers un service externe
• Le script de rapport d’erreurs sentry.io inclus dans l’interface web du NAS transmet ce nom d’hôte interne vers l’extérieur avec la pile d’appels
• Un comportement étrange a été observé : sentry.io tente en retour une connexion TLS vers ce nom d’hôte, mais n’envoie jamais de véritable requête
• Le fait d’avoir configuré à l’avance un DNS wildcard a permis de détecter la fuite, avec un risque grave d’exposition d’informations si des noms d’hôtes sensibles sont utilisés
• Ce mécanisme présente un problème de sécurité potentiel : il pourrait être détourné pour provoquer un scan DNS de n’importe quel hôte

---

Installation du NAS et configuration du nom d’hôte interne

• Achat d’un NAS, installation des disques et connexion au réseau domestique, avec une exploitation en mode HTTPS
• Installation d’un certificat TLS wildcard pour un sous-espace d’un domaine sans signification particulière sur l’Internet public (ex. : *.nothing-special.whatever.example.com)
• Ajout dans le fichier /etc/hosts d’une entrée locale uniquement comme 172.16.12.34 nas.nothing-special.whatever.example.com afin d’y accéder depuis le navigateur

Découverte d’un accès inattendu depuis l’extérieur

• Quelques jours après l’installation du NAS, des requêtes provenant de l’extérieur (« outside world ») ont commencé à arriver pour ce même nom d’hôte
• Ce nom d’hôte est un nom entièrement réservé à l’usage interne, présent uniquement dans le fichier /etc/hosts du portable
• La fuite a pu être détectée parce qu’une entrée DNS wildcard pointant vers une machine contrôlée par l’auteur avait été configurée à l’avance pour tout *.nothing-special.whatever.example.com
• À chaque chargement du NAS, un hôte GCP tentait de se connecter en présentant ce nom d’hôte interne comme SNI

Cause de la fuite : rapport d’erreurs sentry.io

• L’interface web du NAS inclut une fonction de phone home, dont une partie consiste à envoyer des piles d’appels à sentry.io
• Lors du callback du navigateur vers sentry.io, le nom d’hôte utilisé pour l’équipement de stockage interne est également transmis
• Il a été confirmé que sentry.io initie en retour une connexion TLS vers ce nom d’hôte, sans jamais envoyer de véritable requête HTTP

Implications de sécurité et réponse

• Si le nom d’hôte contient des informations sensibles (par ex. mycorp-and-othercorp-planned-merger-storage), il existe un risque de fuite d’informations grave
• Ce mécanisme de rapport Sentry pourrait être utilisé pour déclencher un scan DNS vers un hôte externe arbitraire (la méthode précise est laissée au lecteur)
• Comme mesure de réponse, Little Snitch a été utilisé pour bloquer l’ensemble de ce domaine pour toutes les applications