Une faille a récemment été découverte dans le protocole DNS. Elle a été publiée sous la référence CVE-2008-1447, après un court délai pendant lequel les distributeurs ont trouvé des solutions de contournement. Cette faille permet à un attaquant d'usurper une réponse DNS et, potentiellement, d'envoyer un utilisateur vers un site inconnu, vraisemblablement indésirable, à la place du vôtre.
Pour être parfaitement clair, aucune exploitation connue de cette faille n'existe actuellement. La faille a été découverte par des chercheurs en sécurité et n'a jusqu'ici été décrite que très sommairement, à tel point qu'il serait extrêmement difficile de la reconstituer à partir de la description.
La plupart des grands fournisseurs, dont TinyDNS et BIND, ont publié des correctifs. Ces solutions misent sur la randomisation du port source, qui ajoute un élément encore plus aléatoire à la réponse DNS et rend presque impossible l'usurpation du trafic de réponse (ce qui est tout l'enjeu de cette faille). Red Hat Linux a empaqueté ce correctif de BIND, et CentOS l'a recompilé et testé pour ses distributions 4.6 et 5.x.
Bryght/Raincity Studios a appliqué ce correctif à ses serveurs de noms faisant autorité et à ses serveurs cache, dans la foulée de l'effort de toute l'industrie pour colmater cette brèche du protocole DNS.
Un mot d'avertissement à ceux qui envisagent de corriger leurs propres installations. Si vous avez installé le serveur BIND cache de Red Hat (mais configuré comme serveur faisant autorité), il est possible que cette mise à jour écrase votre configuration et la ramène à la configuration standard de cache seulement. Bryght n'a pas été touché, mais nous connaissons des gens qui l'ont été et nous compatissons.
N'hésitez pas à nous faire part de vos questions ou commentaires par l'intermédiaire du Bryght Support HQ.