Atualizações corretivas para as versões estáveis do servidor DNS BIND 9.11.18 e 9.16.2, bem como para a versão experimental em desenvolvimento 9.17.1. Nas novas versões um problema de segurança relacionado à ineficácia da proteção contra ataques "" ao operar no modo de redirecionamento de consultas do servidor DNS (bloco "forwarders" nas configurações). Além disso, foram feitos esforços para reduzir o tamanho das estatísticas de assinaturas digitais armazenadas em memória para DNSSEC — o número de chaves monitoradas foi reduzido para 4 para cada zona, o que é suficiente em 99% dos casos.
A técnica "DNS rebinding" permite que, ao abrir uma página específica no navegador, o usuário estabeleça uma conexão WebSocket com um serviço de rede em uma rede interna, inacessível para acessos diretos pela internet. Para contornar a proteção contra a saída do domínio atual (cross-origin) aplicada pelos navegadores, utiliza-se a mudança de nome de host no DNS. No servidor DNS do invasor, são configuradas respostas alternadas com dois endereços IP: na primeira solicitação, o IP real do servidor com a página é retornado, enquanto nas solicitações subsequentes, o endereço interno do dispositivo (por exemplo, 192.168.10.1) é devolvido.
O tempo de vida (TTL) para a primeira resposta é definido para o valor mínimo, então, ao abrir a página, o navegador determina o IP real do servidor do invasor e carrega o conteúdo da página. Um código JavaScript é iniciado na página, que espera o TTL expirar e envia uma segunda solicitação, a qual agora define o host como 192.168.10.1. Isso permite, a partir do JavaScript, acessar o serviço dentro da rede local, contornando a limitação cross-origin. A proteção contra ataques desse tipo no BIND é baseada no bloqueio da devolução de endereços IP da rede interna atual ou CNAMEs para domínios locais por servidores externos, utilizando as configurações deny-answer-addresses e deny-answer-aliases.
Fonte: opennet.ru
