A stabil DNS-szerver BIND 9.11.18 és 9.16.2 verzióinak javítófrissítései, valamint a fejlesztés alatt álló kísérleti 9.17.1-es ágba tartozó új kiadások. A biztonsági problémához kapcsolódik a "" támadások elleni védekezés hatékonyságának hiánya a DNS-szerver kérésátirányító üzemmódjában (a beállításokban található „forwarders” blokk). Ezen felül történt munka a DNSSEC digitális aláírásainak tárolt statisztikájának méretének csökkentésére — a nyilvántartott kulcsok száma minden zónában 4-re csökkent, ami 99%-os esetben elegendő.
A "DNS rebinding" technika lehetővé teszi, hogy amikor a felhasználó megnyit egy adott oldalt a böngészőjében, WebSocket kapcsolatot létesítsen egy belső hálózaton lévő hálózati szolgáltatáshoz, amely nem elérhető közvetlenül az interneten. Az aktuális domainkör védelmének megkerülésére a DNS-ben a hosztnevét váltják. A támadó DNS-szerverén váltakozva két IP-címet szolgáltatnak fel: az első kérésre a szerver valódi IP-címét, míg a további kérdésekre a belső eszköz címét (például 192.168.10.1) adják vissza.
Az első válasz időkorlátját (TTL) a lehető legalacsonyabb értékre állítják be, így amikor a böngésző megnyitja az oldalt, az meghatározza a támadó valódi IP-címét, és betölti az oldal tartalmát. Az oldalon elindul egy JavaScript-kód, amely várja a TTL leteltét és második kérést küld, amely most a hosztot 192.168.10.1-re állítja. Ez lehetővé teszi, hogy a JavaScript közvetlen kapcsolatot létesítsen a helyi hálózatban lévő szolgáltatással, megkerülve a cross-origin korlátozást. A BIND-ot érintő ilyen támadásoktól való védelem a külső szerverek által a jelenlegi belső hálózat IP-címeinek vagy a helyi domainek CNAME-aliásainak visszaadásának blokkolásán alapul a deny-answer-addresses és deny-answer-aliases beállítások segítségével.
Forrás: opennet.ru
