aggiornamenti correttivi per le versioni stabili del server DNS BIND 9.11.18 e 9.16.2, nonché per la versione sperimentale in fase di sviluppo 9.17.1. Nei nuovi rilasci un problema di sicurezza relativo all'inefficacia della protezione contro gli attacchi «» durante il funzionamento nella modalità server DNS di inoltro delle richieste (blocco «forwarders» nelle impostazioni). Inoltre, è stato eseguito un lavoro per ridurre la dimensione della statistica delle firme digitali memorizzate per DNSSEC: il numero di chiavi monitorate è stato ridotto a 4 per ciascuna zona, il che è sufficiente nel 99% dei casi.
La tecnica di «DNS rebinding» consente all'utente, aprendo una determinata pagina nel browser, di stabilire una connessione WebSocket a un servizio di rete all'interno della rete locale, non accessibile per contatto diretto via internet. Per eludere la protezione contro l'uscita dai confini dell'attuale dominio (cross-origin) applicata nei browser, viene modificato il nome host nel DNS. Sul server DNS dell'attaccante viene configurato un invio alternato di due indirizzi IP: alla prima richiesta viene restituito l'indirizzo IP reale del server con la pagina, mentre alle richieste successive viene restituito l'indirizzo interno del dispositivo (ad esempio, 192.168.10.1).
Il tempo di vita (TTL) per la prima risposta è impostato al valore minimo, quindi, aprendo la pagina, il browser determina l'indirizzo IP reale del server dell'attaccante e carica il contenuto della pagina. Sulla pagina viene eseguito un codice JavaScript che attende la scadenza del TTL e invia una seconda richiesta, che ora determina l'host come 192.168.10.1. Questo consente al JavaScript di accedere al servizio all'interno della rete locale, bypassando il vincolo cross-origin. La protezione contro tali attacchi in BIND si basa sul blocco del ritorno da parte dei server esterni degli indirizzi IP dell'attuale rete interna o degli alias CNAME per i domini locali tramite le impostazioni deny-answer-addresses e deny-answer-aliases.
Fonte: opennet.ru
