Korrektiva uppdateringar av stabila versioner av BIND DNS-server 9.11.18 och 9.16.2, samt den experimentella versionen 9.17.1 under utveckling. I de nya utgĂ„vorna sĂ€kerhetsproblem kopplat till ineffektiv skydd mot attacker "" nĂ€r den verkar i lĂ€ge för en DNS-server som vidarebefordrar förfrĂ„gningar (avsnittet "forwarders" i instĂ€llningarna). Dessutom har arbetet genomförts för att minska storleken pĂ„ den lagrade statistiken över digitala signaturer för DNSSEC â antalet övervakade nycklar har minskats till 4 för varje zon, vilket Ă€r tillrĂ€ckligt i 99% av fallen.
Tekniken "DNS rebinding" tillÄter en anvÀndare som öppnar en viss sida i webblÀsaren att skapa en WebSocket-anslutning till en nÀtverkstjÀnst i det interna nÀtverket, som inte Àr tillgÀnglig för direkt Ätkomst via internet. För att kringgÄ skyddet av webblÀsare mot att gÄ utanför nuvarande domÀnomrÄde (cross-origin) anvÀnds en namnÀndring i DNS. PÄ angriparens DNS-server konfigureras en vÀxlande Ätergivning av tvÄ IP-adresser: för den första förfrÄgan returneras den verkliga IP-adressen till servern med sidan, och för efterföljande förfrÄgningar returneras den interna adressen till enheten (till exempel 192.168.10.1).
LivslÀngden (TTL) för det första svaret sÀtts till ett minimivÀrde, sÄ nÀr sidan öppnas identifierar webblÀsaren den verkliga IP-adressen till angriparens server och laddar sidans innehÄll. PÄ sidan startar en JavaScript-kod som vÀntar pÄ att TTL ska gÄ ut och skickar en andra förfrÄgan, som nu identifierar vÀrden som 192.168.10.1. Detta gör det möjligt för JavaScript att fÄ Ätkomst till tjÀnsten i det lokala nÀtverket, vilket kringgÄr cross-origin begrÀnsningen. Skydd mot sÄdana attacker i BIND bygger pÄ att blockera Äterförseln av externa servrar av IP-adresser frÄn det aktuella interna nÀtverket eller CNAME-aliaser för lokala domÀner genom instÀllningarna deny-answer-addresses och deny-answer-aliases.
KĂ€lla: opennet.ru
