correttivi per le versioni stabili del server DNS BIND 9.11.18 e 9.16.2, oltre che per la versione sperimentale in sviluppo 9.17.1. Nei nuovi rilasci problemi di sicurezza legati all'inefficienza della protezione contro gli attacchi «» quando si utilizza la modalità di inoltro delle richieste del server DNS (blocco «forwarders» nelle impostazioni). Inoltre, è stato effettuato un lavoro per ridurre la dimensione delle statistiche delle firme digitali memorizzate in memoria per DNSSEC: il numero di chiavi monitorate è stato ridotto a 4 per ogni zona, il che è sufficiente nel 99% dei casi.
La tecnica «DNS rebinding» consente, aprendo una determinata pagina in un browser, di stabilire una connessione WebSocket a un servizio di rete all'interno di una rete interna, non accessibile per chiamate dirette tramite Internet. Per bypassare la protezione che i browser applicano per impedire uscite dal dominio attuale (cross-origin), viene utilizzato il cambio del nome host nel DNS. Sul server DNS dell'attaccante, viene configurata una restituzione alternata di due indirizzi IP: alla prima richiesta viene restituito l'indirizzo IP reale del server con la pagina, mentre alle richieste successive viene restituito l'indirizzo interno del dispositivo (ad esempio, 192.168.10.1).
Il tempo di vita (TTL) per la prima risposta è impostato al valore minimo, quindi quando si apre la pagina, il browser determina l'indirizzo IP reale del server attaccante e carica il contenuto della pagina. Nella pagina viene eseguito il codice JavaScript, che attende la scadenza del TTL e invia una seconda richiesta, che ora identifica l'host come 192.168.10.1. Questo consente al JavaScript di accedere al servizio all'interno della rete locale, eludendo la restrizione cross-origin. la protezione contro tali attacchi in BIND è basata sul blocco del ritorno di indirizzi IP della rete interna attuale o alias CNAME per domini locali da parte di server esterni tramite le impostazioni deny-answer-addresses e deny-answer-aliases.
Fonte: opennet.ru
