DNS-serveri BIND 9.11.18, 9.16.2 ja 9.17.1 värskendus

Avaldatud DNS-serveri BIND stabiilsete harude versioonide 9.11.18 ja 9.16.2 ning arenduses oleva eksperimenteeriva haru 9.17.1 parandusuuendused. Uutes väljaannetes on kõrvaldatud turvaprobleem, mis on seotud ründetegevuste kaitse ebaefektiivsusega «DNS rebinding» töötades DNS-serveri edastusrežiimis (seadete plokk «forwarders»). Lisaks on töö käinud ka DNSSEC-i digitaalsete allkirjade mälus hoitava statistika suuruse vähendamise nimel — jälgitavate võtmete arv on igas tsoonis vähendatud neljani, mis piisab 99% juhtudest.

DNS rebinding tehnika võimaldab kasutajal avada teatud veebilehe brauseris, luues WebSocket-ühenduse sisemistele võrgu teenustele, mis ei ole interneti kaudu otseselt saadaval. Brauserites rakendatava domeeniülese (cross-origin) kaitse ületamiseks kasutatakse DNS-is hostinime muutmist. Ründaja DNS-serveril konfigureeritakse kahte IP-aadressi vaheldumisi andmine: esimese päringu jaoks antakse tõeline serveri IP-aadress koos lehega, ja järgnevate päringute puhul tagastatakse seadme sisemine aadress (nt 192.168.10.1).

Esimese vastuse eluaeg (TTL) seadistatakse miinimumväärtusesse, seetõttu määrab brauser lehe avamisel ründaja tõelise IP-aadresse ja laadib lehe sisu. Lehe peal käivitatakse JavaScripti kood, mis ootab TTL’i lõppemist ja saadab teise päringu, mis nüüd määrab hosti kui 192.168.10.1. See võimaldab JavaScript’il pääseda ligi sisemises võrgus olevale teenusele, ületades domeeniülese ehk cross-origin piiri. Kaitse BIND-is sarnaste rünnete tõkestamine põhineb väliste serverite IP-aadresside või lokaalsete domeenide CNAME aliaside tagastamise blokeerimisel, kasutades deny-answer-addresses ja deny-answer-aliases seadeid.

Allikas: opennet.ru