BIND DNS 서버 업데이트 9.11.18, 9.16.2 및 9.17.1

게시됨 BIND DNS 서버 9.11.18 및 9.16.2의 안정적인 분기와 개발 중인 실험 분기 9.17.1에 대한 수정 업데이트입니다. 새로운 릴리스에서 제거 공격에 대한 비효과적인 방어로 인한 보안 문제"DNS 리바인딩» 요청을 전달하는 DNS 서버 모드에서 작업할 때(설정의 "전달자" 차단) 또한 DNSSEC를 위해 메모리에 저장되는 디지털 서명 통계의 크기를 줄이는 작업이 수행되었습니다. 추적된 키의 수가 각 영역에 대해 4개로 줄어들어 99%의 경우에 충분합니다.

"DNS 리바인딩" 기술을 사용하면 사용자가 브라우저에서 특정 페이지를 열 때 인터넷을 통해 직접 접근할 수 없는 내부 네트워크의 네트워크 서비스에 WebSocket 연결을 설정할 수 있습니다. 현재 도메인의 범위(교차 원본)를 벗어나는 것에 대해 브라우저에서 사용되는 보호를 우회하려면 DNS에서 호스트 이름을 변경하십시오. 공격자의 DNS 서버는 두 개의 IP 주소를 하나씩 보내도록 구성되어 있습니다. 첫 번째 요청은 페이지와 함께 서버의 실제 IP를 보내고 후속 요청은 장치의 내부 주소(예: 192.168.10.1)를 반환합니다.

첫 번째 응답에 대한 TTL(Time to Live)은 최소값으로 설정되어 있으므로 페이지를 열 때 브라우저는 공격자 서버의 실제 IP를 확인하고 페이지의 내용을 로드합니다. 이 페이지는 TTL이 만료되기를 기다리는 JavaScript 코드를 실행하고 이제 호스트를 192.168.10.1로 식별하는 두 번째 요청을 보냅니다. 이를 통해 JavaScript는 교차 출처 제한을 우회하여 로컬 네트워크 내의 서비스에 액세스할 수 있습니다. 보호 BIND의 이러한 공격에 대한 방어는 거부-응답-주소 및 거부-응답-별칭 설정을 사용하여 외부 서버가 현재 내부 네트워크의 IP 주소 또는 로컬 도메인에 대한 CNAME 별칭을 반환하지 못하도록 차단하는 것을 기반으로 합니다.

출처 : opennet.ru