Korrektur-Updates für die stabilen Versionen des DNS-Servers BIND 9.11.18 und 9.16.2 sowie für den sich in Entwicklung befindlichen Experimentalkanal 9.17.1. In den neuen Versionen ein Sicherheitsproblem, das mit der ineffektiven Abwehr von Angriffen „im Betrieb als DNS-Server im Umleitungsmodus (Block „forwarders“ in den Einstellungen) zusammenhängt. Außerdem wurde die Speicherung der in Erinnerung behaltenen Statistiken für digitale Signaturen für DNSSEC optimiert – die Anzahl der überwachten Schlüssel wurde auf 4 pro Zone reduziert, was in 99 % der Fälle ausreichend ist.
Die Technik des „DNS Rebinding“ ermöglicht es dem Benutzer, beim Öffnen einer bestimmten Seite im Browser eine WebSocket-Verbindung zu einem Netzwerkdienst im internen Netzwerk herzustellen, der über das Internet nicht direkt zugänglich ist. Um der Schutzmaßnahme der Browser gegen den Zugriff über die Grenzen der aktuellen Domain (Cross-Origin) zu entkommen, wird der Hostname im DNS gewechselt. Auf dem DNS-Server des Angreifers wird eine sequentielle Rückgabe von zwei IP-Adressen konfiguriert: der erste Request erhält die echte IP des Servers mit der Seite, während die folgenden Requests die interne Adresse des Geräts zurückgeben (z. B. 192.168.10.1).
Die Lebenszeit (TTL) der ersten Antwort wird auf einen Minimalwert gesetzt, sodass beim Öffnen der Seite der Browser die tatsächliche IP-Adresse des angreifenden Servers ermittelt und den Seiteninhalt lädt. Auf der Seite wird ein JavaScript-Code ausgeführt, der auf das Ablaufdatum des TTL wartet und eine zweite Anfrage sendet, die nun den Host als 192.168.10.1 identifiziert. Dies ermöglicht es dem JavaScript, auf einen Dienst im lokalen Netzwerk zuzugreifen und somit die Cross-Origin-Beschränkung zu umgehen. Der Schutz vor solchen Angriffen in BIND basiert auf der Blockierung der Rückgabe externer Server-IP-Adressen der aktuellen internen Netzwerke oder CNAME-Aliasnamen für lokale Domänen durch die Einstellungen deny-answer-addresses und deny-answer-aliases.
Quelle: opennet.ru
