Późniejsi klienci mogą otrzymywać fałszywe mapowanie z pamięci, co przekierowuje ruch lub powoduje awarie, aż wpis wygaśnie, zostanie zastąpiony lub usunięty. Atak korumpuje buforowane dane rozwiązywania; nie wymaga kontroli nad rejestracją domeny ani jej autorytatywną strefą.
Fałszywe dane mogą dotrzeć w sfałszowanej odpowiedzi lub przez skompromitowaną ścieżkę rozwiązywania. Silne dopasowywanie utrudnia fałszowanie spoza ścieżki (off-path). Walidacja DNS Security Extensions (DNSSEC) odrzuca zmienione podpisane dane, gdy istnieje łańcuch zaufania, ale nie uwierzytelnia stref niepodpisanych ani każdego odcinka klient–resolver.
Najważniejsze punkty
ZakresZidentyfikuj dotknięte resolvery, nazwy i typy rekordów, kiedy rekord trafił do pamięci, jego pozostały czas życia oraz które klienty lub usługi go otrzymały.
DowodyPorównaj zawartość pamięci z danymi autorytatywnymi i walidującymi resolverami, a potem przejrzyj logi odpowiedzi, ścieżki przekazywania, zmiany, wyniki walidacji i przekierowaną aktywność.
Redukcja ryzykaUtrzymuj oprogramowanie resolvera, stosuj silne dopasowywanie odpowiedzi i entropię portu źródłowego, ograniczaj rekursję i administrację, waliduj DNSSEC tam, gdzie właściwe, chroń kanały resolvera i monitoruj nieoczekiwane zmiany.
Istotne ograniczenieZaskakująca odpowiedź nie jest automatycznie zatruciem. Buforowanie, split DNS, przekazywanie, lokalne nadpisania, równoważenie obciążenia i błędy konfiguracji mogą produkować odpowiedzi różniące się od danych publicznych; błędy podpisywania mogą też powodować niepowodzenia walidacji DNSSEC.