Apdet koréksi kana cabang stabil tina server BIND DNS 9.11.18 sareng 9.16.2, ogé cabang ékspérimén 9.17.1, anu aya dina pangwangunan. Dina rilis anyar masalah kaamanan pakait sareng pertahanan teu epektip ngalawan serangan "» nalika damel dina modeu pamundut diteruskeun server DNS (blok "forwarders" dina setélan). Salaku tambahan, padamelan parantos dilakukeun pikeun ngirangan ukuran statistik tandatangan digital anu disimpen dina mémori pikeun DNSSEC - jumlah konci anu dilacak parantos diréduksi jadi 4 pikeun tiap zona, anu cekap dina 99% kasus.
Téhnik "DNS rebinding" ngamungkinkeun, lamun pamaké muka kaca nu tangtu dina browser a, nyieun sambungan WebSocket ka layanan jaringan dina jaringan internal nu teu bisa diasupan langsung via Internet. Pikeun ngalangkungan panyalindungan anu dianggo dina panyungsi ngalawan ngalangkungan wengkuan domain ayeuna (cross-origin), robih nami host dina DNS. Server DNS panyerang dikonpigurasi pikeun ngirim dua alamat IP hiji-hiji: pamenta kahiji ngirimkeun IP nyata server sareng halaman, sareng pamenta saterasna ngabalikeun alamat internal alat (contona, 192.168.10.1).
Waktu pikeun hirup (TTL) pikeun réspon munggaran disetel ka nilai minimum, janten nalika muka halaman, browser nangtukeun IP nyata server panyerang sareng ngamuat eusi halaman. Kaca ngajalankeun kode JavaScript nu ngantosan TTL kadaluwarsa sarta ngirimkeun pamundut kadua, nu ayeuna nangtukeun host salaku 192.168.10.1. Hal ieu ngamungkinkeun JavaScript pikeun ngakses layanan dina jaringan lokal, bypassing larangan cross-asal. ngalawan serangan sapertos di BIND dumasar kana blocking server éksternal ti balik alamat IP tina jaringan internal ayeuna atawa landian CNAME pikeun domain lokal ngagunakeun mungkir-jawaban-alamat na mungkir-jawaban-alias setelan.
sumber: opennet.ru