ispravci za stabilne grane DNS servera BIND 9.11.18 i 9.16.2, kao i razvojnu eksperimentalnu granu 9.17.1. U novim izdanjima sigurnosna problematika vezana uz nedovoljnu zaštitu od napada „“ prilikom rada u režimu DNS servera koji preusmjerava upite (blok „forwarders“ u postavkama). Osim toga, obavljen je rad na smanjenju veličine statistike digitalnih potpisa pohranjene u memoriji za DNSSEC — broj praćenih ključeva smanjen je na 4 za svaku zonu, što je dovoljno u 99% slučajeva.
Tehnika „DNS rebinding“ omogućuje korisniku da prilikom otvaranja određenih stranica u pregledniku uspostavi WebSocket vezu s mrežnom uslugom unutar lokalne mreže, koja nije dostupna za izravne pristupe putem interneta. Da bi zaobišli zaštitu koja se primjenjuje u preglednicima protiv izlaska iz trenutne domene (cross-origin), mijenja se naziv hosta u DNS-u. Na napadačevom DNS serveru postavlja se naizmjenično vraćanje dvaju IP adresa: na prvi upit vraća se stvarni IP servera s stranicom, a na sljedeće upite vraća se unutarnja adresa uređaja (npr. 192.168.10.1).
Vrijeme života (TTL) za prvi odgovor postavlja se na minimalnu vrijednost, pa prilikom otvaranja stranice preglednik određuje stvarni IP napadačevog servera i učitava sadržaj stranice. Na stranici se pokreće JavaScript kod koji čeka isteknuće TTL-a i šalje drugi upit, koji sada određuje host kao 192.168.10.1. To omogućuje iz JavaScript-a pristup usluzi unutar lokalne mreže, zaobilazeći cross-origin ograničenje. od sličnih napada u BIND temelji se na blokiranju vraćanja vanjskih servera IP adresa trenutne unutarnje mreže ili CNAME aliasa za lokalne domene pomoću postavki deny-answer-addresses i deny-answer-aliases.
Izvor: opennet.ru
