BIND DNS সার্ভার আপডেট 9.11.18, 9.16.2 এবং 9.17.1

প্রকাশিত হয়েছে BIND DNS সার্ভার 9.11.18 এবং 9.16.2 এর স্থিতিশীল শাখাগুলির সংশোধনমূলক আপডেট, সেইসাথে পরীক্ষামূলক শাখা 9.17.1, যা বিকাশে রয়েছে৷ নতুন রিলিজে নির্মূল আক্রমণের বিরুদ্ধে অকার্যকর প্রতিরক্ষার সাথে সম্পর্কিত নিরাপত্তা সমস্যা "DNS রিবাইন্ডিং» যখন একটি DNS সার্ভার ফরওয়ার্ডিং অনুরোধের মোডে কাজ করে (সেটিংসে "ফরওয়ার্ডার" ব্লক)। এছাড়াও, DNSSEC-এর জন্য মেমরিতে সংরক্ষিত ডিজিটাল স্বাক্ষর পরিসংখ্যানের আকার কমাতে কাজ করা হয়েছে - প্রতিটি জোনের জন্য ট্র্যাক করা কীগুলির সংখ্যা 4-এ কমিয়ে আনা হয়েছে, যা 99% ক্ষেত্রে যথেষ্ট।

"DNS রিবাইন্ডিং" কৌশলটি অনুমতি দেয়, যখন একজন ব্যবহারকারী একটি ব্রাউজারে একটি নির্দিষ্ট পৃষ্ঠা খোলে, অভ্যন্তরীণ নেটওয়ার্কে একটি নেটওয়ার্ক পরিষেবার সাথে একটি WebSocket সংযোগ স্থাপন করতে যা সরাসরি ইন্টারনেটের মাধ্যমে অ্যাক্সেসযোগ্য নয়৷ বর্তমান ডোমেনের (ক্রস-অরিজিন) সীমার বাইরে যাওয়ার বিরুদ্ধে ব্রাউজারগুলিতে ব্যবহৃত সুরক্ষা বাইপাস করতে, DNS-এ হোস্টের নাম পরিবর্তন করুন। আক্রমণকারীর DNS সার্ভারটি একে একে দুটি আইপি ঠিকানা পাঠানোর জন্য কনফিগার করা হয়েছে: প্রথম অনুরোধটি পৃষ্ঠার সাথে সার্ভারের আসল আইপি পাঠায় এবং পরবর্তী অনুরোধগুলি ডিভাইসের অভ্যন্তরীণ ঠিকানা ফেরত দেয় (উদাহরণস্বরূপ, 192.168.10.1)।

প্রথম প্রতিক্রিয়ার জন্য লাইভ করার সময় (TTL) একটি সর্বনিম্ন মান সেট করা হয়, তাই পৃষ্ঠাটি খোলার সময়, ব্রাউজার আক্রমণকারীর সার্ভারের আসল আইপি নির্ধারণ করে এবং পৃষ্ঠার বিষয়বস্তু লোড করে। পৃষ্ঠাটি জাভাস্ক্রিপ্ট কোড চালায় যা TTL-এর মেয়াদ শেষ হওয়ার জন্য অপেক্ষা করে এবং একটি দ্বিতীয় অনুরোধ পাঠায়, যা এখন হোস্টকে 192.168.10.1 হিসাবে চিহ্নিত করে। এটি জাভাস্ক্রিপ্টকে ক্রস-অরিজিন সীমাবদ্ধতা বাইপাস করে স্থানীয় নেটওয়ার্কের মধ্যে একটি পরিষেবা অ্যাক্সেস করতে দেয়। রক্ষা বিআইএনডি-তে এই ধরনের আক্রমণের বিরুদ্ধে বাহ্যিক সার্ভারগুলিকে বর্তমান অভ্যন্তরীণ নেটওয়ার্কের আইপি ঠিকানাগুলি বা স্থানীয় ডোমেনের জন্য CNAME উপনামগুলিকে অস্বীকার-উত্তর-ঠিকানা এবং অস্বীকার-উত্তর-উপনাম সেটিংস ব্যবহার করে ফিরিয়ে দেওয়া থেকে ব্লক করার উপর ভিত্তি করে।

উত্স: opennet.ru