BIND DNS Server Update 9.11.18, 9.16.2 ug 9.17.1

Gipatik Ang mga pag-update sa pagtul-id sa mga lig-on nga sanga sa BIND DNS server 9.11.18 ug 9.16.2, ingon man usab sa eksperimento nga sanga 9.17.1, nga anaa sa pag-uswag. Sa bag-ong mga pagpagawas giwagtang problema sa seguridad nga nalangkit sa dili epektibo nga depensa batok sa mga pag-atake "Pag-usab sa DNS» kung nagtrabaho sa mode sa usa ka DNS server nga pagpasa sa mga hangyo (ang "forwarders" block sa mga setting). Dugang pa, gihimo ang trabaho aron makunhuran ang gidak-on sa mga istatistika sa digital nga pirma nga gitipigan sa panumduman alang sa DNSSEC - ang gidaghanon sa gisubay nga mga yawe gipamubu sa 4 alang sa matag zone, nga igo sa 99% sa mga kaso.

Ang teknik nga "DNS rebinding" nagtugot, kung ang usa ka tiggamit magbukas sa usa ka panid sa usa ka browser, nga magtukod usa ka koneksyon sa WebSocket sa usa ka serbisyo sa network sa internal nga network nga dili direkta nga ma-access pinaagi sa Internet. Aron malaktawan ang proteksyon nga gigamit sa mga browser batok sa paglabaw sa sakup sa kasamtangan nga domain (cross-origin), usba ang host name sa DNS. Ang DNS server sa tig-atake gi-configure aron ipadala ang duha ka IP nga adres sa usag usa: ang una nga hangyo nagpadala sa tinuud nga IP sa server nga adunay panid, ug ang sunod nga mga hangyo ibalik ang internal nga adres sa aparato (pananglitan, 192.168.10.1).

Ang oras sa pagkinabuhi (TTL) alang sa una nga tubag gitakda sa usa ka minimum nga kantidad, busa kung giablihan ang panid, gitino sa browser ang tinuod nga IP sa server sa tig-atake ug gikarga ang sulud sa panid. Ang panid nagpadagan sa JavaScript code nga naghulat sa TTL nga matapos ug nagpadala sa ikaduhang hangyo, nga karon nagpaila sa host isip 192.168.10.1. Gitugotan niini ang JavaScript nga maka-access sa usa ka serbisyo sa sulod sa lokal nga network, nga dili molapas sa cross-origin restriction. sa pagpanalipod sa batok sa ingon nga mga pag-atake sa BIND gibase sa pagbabag sa mga external server gikan sa pagbalik sa mga IP address sa kasamtangan nga internal nga network o mga alyas sa CNAME alang sa mga lokal nga dominyo gamit ang mga setting sa deny-answer-address ug deny-answer-aliases.

Source: opennet.ru