Korektivna posodobitev stabilnih različic DNS strežnika BIND 9.11.18 in 9.16.2 ter razvijajoče se eksperimentalne različice 9.17.1. V novih izdajah težava z varnostjo, povezana z neučinkovitostjo zaščite pred napadi "" pri delovanju v načinu preusmerjanja DNS poizvedb (blok „forwarders“ v nastavitvah). Poleg tega je bilo opravljeno delo na zmanjšanju velikosti statistike digitalnih podpisov za DNSSEC v pomnilniku — število spremljanih ključev je zmanjšano na 4 za vsako cono, kar zadostuje v 99% primerov.
Tehnika „DNS rebinding“ omogoča, da ob odprtju določene strani v brskalniku uporabnik vzpostavi WebSocket povezavo do omrežne storitve v notranji mreži, ki ni dostopna prek interneta. Zaobitje v brskalnikih uporabljenih zaščitnih mehanizmov proti čezmejnim dostopom (cross-origin) se doseže s spremembo imena gostitelja v DNS. Na DNS strežniku napadalca se nastavi zaporedna vrnitev dveh IP naslovov: na prvo poizvedbo se vrne pravi IP strežnika z omenjeno stranjo, na naslednje poizvedbe pa se vrne notranji naslov naprave (na primer 192.168.10.1).
Čas življenja (TTL) za prvi odziv se nastavi na minimalno vrednost, zato ob odpiranju strani brskalnik določi pravi IP strežnika napadalca in naloži vsebino strani. Na strani se zažene JavaScript koda, ki čaka na potek TTL in pošlje drugo poizvedbo, ki zdaj določi gostitelja kot 192.168.10.1. To omogoča, da se iz JavaScripta dostopa do storitve znotraj lokalne mreže, s čimer se obide omejitev cross-origin. pred tovrstnimi napadi v BIND temelji na blokiranju vračanja zunanjih strežnikov IP naslovov trenutne notranje mreže ali CNAME aliasov za lokalne domene s pomočjo nastavitev deny-answer-addresses in deny-answer-aliases.
Izvor: opennet.ru
