关于DNS系统面临严重安全漏洞风险紧急公告

　　国家计算机网络应急技术处理协调中心关于DNS系统面临严重安全漏洞风险紧急公告:

　　安全公告：CN-VA08-05

　　发布日期：2008年7月24日

　　漏洞类型：欺骗

　　漏洞评估：重要

　　安全等级：三级

　　公开程度：公共

　　漏洞描述：

　　2008年7月9日以来，思科、微软、ISC等互联网域名解析服务软件厂商纷纷发布了安全公告，称其DNS软件存在高危漏洞，攻击者可以通过猜测DNS解析过程中的报文序列号来伪造DNS权威服务器的应答，从而达到“污染”高速缓存（Cache）中的记录的目的，即将错误的域名指向信息注入DNS服务器，最终导致受到污染的DNS服务器将对外提供错误的解析结果。该种攻击方式可造成域名劫持攻击，使得公众在不知情的情况下通过域名访问到黑客指定的网站，面临网络钓鱼和网页木马等一系列严重的安全威胁。

　　7月22日，针对该漏洞的探测程序被发布，7月23日，针对该漏洞的完整攻击程序被发布，并随后广泛流传。我中心经过初步测试后发现，在带宽良好情况下，该攻击程序对存在漏洞的DNS服务器只需数分钟就可完成攻击，受攻击目标会瞬时接到大量攻击报文，容易被误判为“query flood”方式的拒绝服务攻击。

　　鉴于该安全事件形势严峻且发展迅速，为确保我国互联网的运行安全，请各相关单位迅速采取适当措施，对所运行的DNS服务器进行必要的安全加固，并加强异常监测和处置。

　　建议措施：

　　1、根据相应厂商提供的补丁升级DNS服务器系统；

　　2、因在攻击过程中会短时出现大量伪造的域名解析响应数据包，呈现拒绝服务攻击特点，这些数据包的源IP、目的IP、解析的IP地址相同，但序列号不同，可据此在有条件的防护设备（如智能防火墙、流量清洗设备等）上配置相应的规则加以屏蔽或过滤；

　　3、定期清理DNS缓存或在发现异常访问后清理缓存。

　　参考信息：

　　http://www.cert.org.cn/servlet/S ... =bulletin&sub=1

　　http://www.kb.cert.org/vuls/id/800113

　　http://www.isc.org/sw/bind/bind-security.php

　　http://www.cisco.com/warp/public/707/cisco-sa-20080708-dns.shtml

　　http://www.microsoft.com/technet/security/bulletin/ms08-037.mspx

　　其他信息：

　　CVE编号：

　　首次发布日期：2008-7-24

　　修订次数：0

　　安全公告文档编写：

　　CNCERT/CC

　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。

　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心：http://www.cert.org.cn/servlet/Incident

　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。