Fraunhofer SIT 研究发现，DNS-over-TCP 同样易受 IP 分片错误关联攻击。至少 393 个额外域名的权威服务器响应可被利用实施源分片攻击；超 1000 个中间路由器因下一跳 MTU 较小导致分片。攻击者可伪造 ICMP 分片需求差错消息（类型 3，代码 4）强制源端分片，绕过 TCP 序列号与源端口熵，在重组时注入恶意载荷或导致 DoS。DNS Flag Day 2020 将默认 EDNS 设为 1,232 字节，推动大包改走 TCP，但 TCP 并非免疫分片攻击。
原文: APNIC Blog（2021-11-09）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog