Korrigerende opdateringer til de stabile versioner af DNS-serveren BIND 9.11.18 og 9.16.2 samt den eksperimentelle version 9.17.1, der er under udvikling. I de nye udgivelser en sikkerhedsproblem relateret til ineffektiv beskyttelse mod "" ved drift i tilstand for omdirigering af DNS-forespørgsler (blokken "forwarders" i indstillingerne). Derudover er der arbejdet med at reducere den størrelsesordenen af den gemte statistik for digitale signaturer til DNSSEC - antallet af sporade nøgler er reduceret til 4 for hver zone, hvilket er tilstrækkeligt i 99 % af tilfældene.
Teknikken "DNS rebinding" gør det muligt for brugeren at etablere en WebSocket-forbindelse til en netværkstjeneste i det interne netværk, mens der åbnes en bestemt side i browseren, som ikke er tilgængelig for direkte adgang via internettet. For at omgå den beskyttelse, der anvendes i browsere mod at overskride det aktuelle domæns område (cross-origin), anvendes der en ændring af værtsnavnet i DNS. På angriberens DNS-server konfigureres der til vækselsvis at returnere to IP-adresser: ved den første forespørgsel returneres den reelle IP-adresse til serveren med siden, og ved efterfølgende forespørgsler returneres den interne adresse til enheden (f.eks. 192.168.10.1).
Livstiden (TTL) for det første svar sættes til et minimum, så når siden åbnes, identificerer browseren den reelle IP-adresse til angriberen og indlæser indholdet af siden. På siden kører JavaScript-kode, som venter på, at TTL udløber, og sender en anden forespørgsel, som nu identificerer værten som 192.168.10.1. Dette giver mulighed for, at JavaScript kan få adgang til tjenesten inden for det lokale netværk og omgå cross-origin begrænsningen. beskyttelse mod sådanne angreb i BIND er baseret på at blokere eksterne servere fra at returnere IP-adresser fra det aktuelle interne netværk eller CNAME-aliaser for lokale domæner ved hjælp af indstillingerne deny-answer-addresses og deny-answer-aliases.
Kilde: opennet.ru
