解决新的DNSSEC资源耗尽漏洞
内容提要
Cloudflare已经解决了两个关键的DNSSEC漏洞，这些漏洞对DNS解析服务构成了风险。这些漏洞不影响Cloudflare的权威DNS或DNS防火墙产品。Cloudflare的公共解析器1.1.1.1服务和使用unbound的内部解析器已经受到了这些漏洞的保护。建议立即更新DNS解析器软件。这些漏洞包括Keytrap漏洞，它增加了验证DNS解析器的计算成本，以及NSEC3迭代和最接近封闭证明漏洞，它耗尽了计算资源。Cloudflare已经实施了对这两个漏洞的缓解措施。
延伸解读
漏洞影响范围与产品差异
文章明确指出，这两个DNSSEC漏洞仅影响DNS解析服务，不影响Cloudflare的权威DNS或DNS防火墙产品。这意味着使用Cloudflare权威DNS或防火墙的用户无需担心，但所有运行DNS解析器的用户都应立即更新软件，因为漏洞可能被利用导致服务性能下降或资源耗尽。
缓解措施与可用性权衡
Cloudflare对Keytrap漏洞实施了最大密钥数量限制和签名验证限制，对NSEC3漏洞限制了每个解析任务的哈希计算总数。这些措施虽然能防止资源耗尽，但可能导致某些查询失败并返回错误码。这体现了在安全性和可用性之间的权衡，用户需关注更新后可能出现的解析失败情况。
行业协作与及时更新
文章强调了多厂商协作应对漏洞，所有主要DNS软件供应商已发布新版本。Cloudflare的公共解析器1.1.1.1在漏洞公开前已实施缓解措施。这提醒用户，及时更新DNS解析器软件至关重要，同时行业协作有助于快速响应安全威胁。
Q&A
Cloudflare 解决了哪两个 DNSSEC 漏洞？
Cloudflare 解决了两个关键的 DNSSEC 漏洞：Keytrap 漏洞（CVE-2023-50387）和 NSEC3 迭代及最接近封闭证明漏洞（CVE-2023-50868）。
Keytrap 漏洞是如何导致 DNS 解析器资源耗尽的？
攻击者可以构造包含多个具有相同密钥标签的密钥和多个签名的 DNS 响应，验证解析器必须尝试所有密钥和签名的组合，从而大幅增加计算成本，导致性能下降。
Cloudflare 如何缓解 Keytrap 漏洞？
Cloudflare 限制了区域切割处接受的最大密钥数量，并添加了每个 RRSET 的签名验证限制和每个解析任务的签名验证总数限制。超过限制的查询将失败并返回 EDE 代码 0。
NSEC3 迭代漏洞是如何被利用的？
恶意 DNS 响应可以设置高 NSEC3 迭代计数和长 DNS 名称，使验证解析器进行不必要的哈希计算，从而耗尽计算资源。
Cloudflare 的公共解析器 1.1.1.1 是否受到这些漏洞的影响？
Cloudflare 的公共解析器 1.1.1.1 在漏洞公开披露之前已经实施了缓解措施，因此不受这些漏洞影响。
这些 DNSSEC 漏洞是否影响 Cloudflare 的权威 DNS 或 DNS 防火墙产品？
不影响。这些漏洞不影响 Cloudflare 的权威 DNS 或 DNS 防火墙产品。
针对这些漏洞，用户应该采取什么措施？
用户应立即更新其 DNS 解析器软件，因为所有主要 DNS 软件供应商已发布新版本以解决这些漏洞。
