Poprawki dla stabilnych gałęzi serwera DNS BIND 9.11.18 i 9.16.2, a także dla eksperymentalnej gałęzi 9.17.1 w trakcie rozwoju. W nowym wydaniu znaleziono problem z bezpieczeństwem związany z niewystarczającą ochroną przed atakami „” w trybie przekazywania zapytań przez serwer DNS (blok „forwarders” w ustawieniach). Ponadto zredukowano rozmiar statystyk przechowywanych w pamięci dla podpisów cyfrowych DNSSEC — liczba monitorowanych kluczy została ograniczona do 4 dla każdej strefy, co wystarcza w 99% przypadków.
Technika „DNS rebinding” umożliwia nawiązanie połączenia WebSocket z usługą sieciową w wewnętrznej sieci, niedostępną do bezpośredniego dostępu przez internet, po otwarciu przez użytkownika określonej strony w przeglądarce. Aby obejść zabezpieczenia stosowane w przeglądarkach przed przekroczeniem granic bieżącej domeny (cross-origin), zmienia się nazwę hosta w DNS. Na serwerze DNS atakującego konfiguruje się naprzemienne zwracanie dwóch adresów IP: na pierwsze zapytanie zwraca się rzeczywisty adres IP serwera z stroną, a na następne zapytania zwraca się wewnętrzny adres urządzenia (na przykład 192.168.10.1).
Czas życia (TTL) dla pierwszej odpowiedzi ustawiany jest na minimalną wartość, więc przy otwieraniu strony przeglądarka określa rzeczywisty adres IP serwera atakującego i ładuje treść strony. Na stronie uruchamiany jest kod JavaScript, który czeka na wygaśnięcie TTL i wysyła drugie zapytanie, które teraz określa host jako 192.168.10.1. To pozwala na dostęp do usługi w lokalnej sieci z poziomu JavaScript, omijając ograniczenie cross-origin. ochrona przed podobnymi atakami w BIND opiera się na blokowaniu zwrotu zewnętrznymi serwerami adresów IP bieżącej sieci wewnętrznej lub aliasów CNAME dla lokalnych domen za pomocą ustawień deny-answer-addresses i deny-answer-aliases.
Źródło: opennet.ru
