BIND DNS Server Update 9.11.18, 9.16.2 ແລະ 9.17.1

ຈັດພີມມາ ການແກ້ໄຂການປັບປຸງສາຂາທີ່ຫມັ້ນຄົງຂອງ BIND DNS server 9.11.18 ແລະ 9.16.2, ເຊັ່ນດຽວກັນກັບສາຂາທົດລອງ 9.17.1, ເຊິ່ງຢູ່ໃນການພັດທະນາ. ໃນການປ່ອຍໃຫມ່ ລົບລ້າງ ບັນຫາຄວາມປອດໄພທີ່ກ່ຽວຂ້ອງກັບການປ້ອງກັນການໂຈມຕີທີ່ບໍ່ມີປະສິດທິພາບDNS rebinding» ເມື່ອເຮັດວຽກຢູ່ໃນຮູບແບບການຮ້ອງຂໍສົ່ງຕໍ່ເຊີບເວີ DNS (ບລັອກ "ຜູ້ສົ່ງຕໍ່" ໃນການຕັ້ງຄ່າ). ນອກຈາກນັ້ນ, ການເຮັດວຽກໄດ້ຖືກປະຕິບັດເພື່ອຫຼຸດຜ່ອນຂະຫນາດຂອງສະຖິຕິລາຍເຊັນດິຈິຕອນທີ່ເກັບໄວ້ໃນຫນ່ວຍຄວາມຈໍາສໍາລັບ DNSSEC - ຈໍານວນລະຫັດຕິດຕາມໄດ້ຖືກຫຼຸດລົງເປັນ 4 ສໍາລັບແຕ່ລະເຂດ, ເຊິ່ງພຽງພໍໃນ 99% ຂອງກໍລະນີ.

ເຕັກນິກ "ການຜູກມັດ DNS" ອະນຸຍາດໃຫ້, ເມື່ອຜູ້ໃຊ້ເປີດຫນ້າໃດຫນຶ່ງໃນຕົວທ່ອງເວັບ, ເພື່ອສ້າງການເຊື່ອມຕໍ່ WebSocket ກັບການບໍລິການເຄືອຂ່າຍໃນເຄືອຂ່າຍພາຍໃນທີ່ບໍ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍກົງຜ່ານອິນເຕີເນັດ. ເພື່ອຂ້າມການປົກປ້ອງທີ່ໃຊ້ໃນຕົວທ່ອງເວັບຕໍ່ກັບການໄປເກີນຂອບເຂດຂອງໂດເມນປັດຈຸບັນ (ຂ້າມຕົ້ນກໍາເນີດ), ປ່ຽນຊື່ໂຮດໃນ DNS. ເຄື່ອງແມ່ຂ່າຍ DNS ຂອງຜູ້ໂຈມຕີໄດ້ຖືກຕັ້ງຄ່າໃຫ້ສົ່ງສອງທີ່ຢູ່ IP ຫນຶ່ງໂດຍຫນຶ່ງ: ຄໍາຮ້ອງຂໍທໍາອິດສົ່ງ IP ທີ່ແທ້ຈິງຂອງເຄື່ອງແມ່ຂ່າຍກັບຫນ້າ, ແລະການຮ້ອງຂໍຕໍ່ມາສົ່ງຄືນທີ່ຢູ່ພາຍໃນຂອງອຸປະກອນ (ຕົວຢ່າງ: 192.168.10.1).

ເວລາທີ່ຈະດໍາລົງຊີວິດ (TTL) ສໍາລັບການຕອບສະຫນອງຄັ້ງທໍາອິດແມ່ນຖືກກໍານົດເປັນຄ່າຕໍາ່ສຸດທີ່, ດັ່ງນັ້ນເມື່ອເປີດຫນ້າ, ຕົວທ່ອງເວັບກໍານົດ IP ທີ່ແທ້ຈິງຂອງເຄື່ອງແມ່ຂ່າຍຂອງຜູ້ໂຈມຕີແລະໂຫລດເນື້ອຫາຂອງຫນ້າ. ຫນ້າທີ່ດໍາເນີນການລະຫັດ JavaScript ທີ່ລໍຖ້າ TTL ຫມົດອາຍຸແລະສົ່ງຄໍາຮ້ອງຂໍທີສອງ, ເຊິ່ງໃນປັດຈຸບັນກໍານົດເຈົ້າພາບເປັນ 192.168.10.1. ນີ້ອະນຸຍາດໃຫ້ JavaScript ເຂົ້າເຖິງການບໍລິການພາຍໃນເຄືອຂ່າຍທ້ອງຖິ່ນ, ຂ້າມຂໍ້ຈໍາກັດຂ້າມຕົ້ນກໍາເນີດ. ການປ້ອງກັນ ຕໍ່ກັບການໂຈມຕີດັ່ງກ່າວໃນ BIND ແມ່ນອີງໃສ່ການສະກັດເຊີບເວີພາຍນອກຈາກການສົ່ງຄືນທີ່ຢູ່ IP ຂອງເຄືອຂ່າຍພາຍໃນປະຈຸບັນ ຫຼືນາມແຝງ CNAME ສໍາລັບໂດເມນທ້ອງຖິ່ນໂດຍໃຊ້ການຕັ້ງຄ່າການປະຕິເສດຄຳຕອບ ແລະການຕັ້ງຄ່າການປະຕິເສດຄຳຕອບ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru