Opravy stabilních větví DNS serveru BIND 9.11.18 a 9.16.2 a také probíhající experimentální větve 9.17.1. V nových vydáních bezpečnostní problém související s neefektivní ochranou proti útokům „“ při práci v režimu přesměrovávajícího dotazu DNS serveru (blok „forwarders“ v nastavení). Kromě toho byla provedena práce na zmenšení velikosti uložené v paměti statistiky digitálních podpisů pro DNSSEC - počet sledovaných klíčů byl snížen na 4 pro každou zónu, což je dostatečné v 99 % případů.
Technika „DNS rebinding“ umožňuje při otevření určité stránky uživatelem v prohlížeči navázat WebSocket spojení se síťovou službou ve vnitřní síti, která není přístupná pro přímé volání přes internet. Pro obcházení ochrany proti výstupu za hranice aktuální domény (cross-origin) používané v prohlížečích se používá změna názvu hostitele v DNS. Na DNS serveru útočníka se nastavuje střídavé poskytování dvou IP adres: na první dotaz se vrací skutečná IP adresa serveru se stránkou, a na následující dotazy se vrací vnitřní adresa zařízení (například 192.168.10.1).
Životnost (TTL) pro první odpověď je nastavena na minimální hodnotu, takže při otevření stránky prohlížeč určuje skutečnou IP adresu serveru útočníka a načítá obsah stránky. Na stránce se spouští JavaScriptový kód, který čeká na vypršení TTL a odesílá druhý dotaz, který nyní určuje hostitele jako 192.168.10.1. To umožňuje prostřednictvím JavaScriptu přistupovat k službě uvnitř lokální sítě, čímž obchází omezení cross-origin. ochrana před podobnými útoky v BIND je založena na blokování vracení externími servery IP adres aktuální vnitřní sítě nebo CNAME aliasů pro místní domény pomocí nastavení deny-answer-addresses a deny-answer-aliases.
Zdroj: opennet.ru
