BIND DNS సర్వర్ 9.11.18 మరియు 9.16.2 యొక్క స్థిరమైన శాఖలకు, అలాగే అభివృద్ధిలో ఉన్న ప్రయోగాత్మక శాఖ 9.17.1కి దిద్దుబాటు నవీకరణలు. కొత్త విడుదలలలో దాడులకు వ్యతిరేకంగా అసమర్థమైన రక్షణతో సంబంధం ఉన్న భద్రతా సమస్య "» DNS సర్వర్ ఫార్వార్డింగ్ అభ్యర్థనల మోడ్లో పని చేస్తున్నప్పుడు (సెట్టింగ్లలో "ఫార్వార్డర్లు" బ్లాక్). అదనంగా, DNSSEC కోసం మెమరీలో నిల్వ చేయబడిన డిజిటల్ సంతకం గణాంకాల పరిమాణాన్ని తగ్గించడానికి పని జరిగింది - ట్రాక్ చేయబడిన కీల సంఖ్య ప్రతి జోన్కు 4కి తగ్గించబడింది, ఇది 99% కేసులలో సరిపోతుంది.
"DNS రీబైండింగ్" టెక్నిక్, వినియోగదారు బ్రౌజర్లో నిర్దిష్ట పేజీని తెరిచినప్పుడు, ఇంటర్నెట్ ద్వారా నేరుగా యాక్సెస్ చేయలేని అంతర్గత నెట్వర్క్లోని నెట్వర్క్ సేవకు WebSocket కనెక్షన్ని ఏర్పాటు చేయడానికి అనుమతిస్తుంది. ప్రస్తుత డొమైన్ (క్రాస్-ఆరిజిన్) పరిధిని దాటి వెళ్లకుండా బ్రౌజర్లలో ఉపయోగించే రక్షణను దాటవేయడానికి, DNSలో హోస్ట్ పేరును మార్చండి. దాడి చేసేవారి DNS సర్వర్ రెండు IP చిరునామాలను ఒక్కొక్కటిగా పంపేలా కాన్ఫిగర్ చేయబడింది: మొదటి అభ్యర్థన సర్వర్ యొక్క నిజమైన IPని పేజీతో పంపుతుంది మరియు తదుపరి అభ్యర్థనలు పరికరం యొక్క అంతర్గత చిరునామాను తిరిగి అందిస్తాయి (ఉదాహరణకు, 192.168.10.1).
మొదటి ప్రతిస్పందన కోసం జీవించే సమయం (TTL) కనిష్ట విలువకు సెట్ చేయబడింది, కాబట్టి పేజీని తెరిచేటప్పుడు, బ్రౌజర్ దాడి చేసేవారి సర్వర్ యొక్క నిజమైన IPని నిర్ణయిస్తుంది మరియు పేజీలోని కంటెంట్లను లోడ్ చేస్తుంది. పేజీ TTL గడువు ముగిసే వరకు వేచి ఉండే JavaScript కోడ్ను అమలు చేస్తుంది మరియు రెండవ అభ్యర్థనను పంపుతుంది, ఇది ఇప్పుడు హోస్ట్ని 192.168.10.1గా గుర్తిస్తుంది. ఇది స్థానిక నెట్వర్క్లోని ఒక సేవను యాక్సెస్ చేయడానికి JavaScriptని అనుమతిస్తుంది, క్రాస్-ఆరిజిన్ పరిమితిని దాటవేస్తుంది. BINDలో ఇటువంటి దాడులకు వ్యతిరేకంగా ప్రస్తుత అంతర్గత నెట్వర్క్ యొక్క IP చిరునామాలను లేదా స్థానిక డొమైన్ల కోసం CNAME మారుపేర్లను తిరస్కరించడం-సమాధానం-చిరునామాలు మరియు తిరస్కరించు-సమాధానం-అలియాసెస్ సెట్టింగ్లను ఉపయోగించి బాహ్య సర్వర్లను నిరోధించడంపై ఆధారపడి ఉంటుంది.
మూలం: opennet.ru
