עדכון שרת DNS BIND 9.11.18, 9.16.2 ו-9.17.1

יצא לאור עדכונים מתקנים לענפים היציבים של שרת BIND DNS 9.11.18 ו-9.16.2 וכן לענף הניסיוני 9.17.1 שנמצא בפיתוח. במהדורות חדשות חוסלו בעיית אבטחה הקשורה להגנה לא יעילה מפני התקפות"כריכת DNS מחדש» כאשר עובדים במצב של שרת DNS העברת בקשות (חסימת ה"משלחים" בהגדרות). בנוסף, נעשתה עבודה לצמצום גודל הנתונים הסטטיסטיים של חתימות דיגיטליות המאוחסנות בזיכרון עבור DNSSEC - מספר המפתחות המעקבים הצטמצם ל-4 עבור כל אזור, וזה מספיק ב-99% מהמקרים.

טכניקת "DNS rebinding" מאפשרת, כאשר משתמש פותח דף מסוים בדפדפן, ליצור חיבור WebSocket לשירות רשת ברשת הפנימית שאינו נגיש ישירות דרך האינטרנט. כדי לעקוף את ההגנה המשמשת בדפדפנים מפני מעבר לתחום התחום הנוכחי (מקור צולב), שנה את שם המארח ב-DNS. שרת ה-DNS של התוקף מוגדר לשלוח שתי כתובות IP אחת אחת: הבקשה הראשונה שולחת את ה-IP האמיתי של השרת עם הדף, ובקשות עוקבות מחזירות את הכתובת הפנימית של המכשיר (לדוגמה, 192.168.10.1).

זמן החיים (TTL) לתגובה הראשונה מוגדר לערך מינימלי, ולכן בעת ​​פתיחת העמוד, הדפדפן קובע את ה-IP האמיתי של שרת התוקף וטוען את תוכן העמוד. הדף מריץ קוד JavaScript שמחכה לתוקף ה-TTL ושולח בקשה שנייה, אשר מזהה כעת את המארח כ-192.168.10.1. זה מאפשר ל-JavaScript לגשת לשירות בתוך הרשת המקומית, תוך עקיפת מגבלת חוצה מוצא. הגנה נגד התקפות כאלה ב-BIND מבוסס על חסימת שרתים חיצוניים מלהחזיר כתובות IP של הרשת הפנימית הנוכחית או כינויים של CNAME עבור דומיינים מקומיים באמצעות ההגדרות של דחיית כתובות תשובה והגדרות דחיית תשובות.

מקור: OpenNet.ru