安全扫描器频繁报告 DNS 服务器缓存窥探远程信息泄露，风险等级中等（CVSS 5.0）。攻击者通过发送 RD=0 查询探测递归解析器缓存，判断特定域名是否近期被解析，从而推断内部访问模式，但无法获取完整缓存内容或请求者身份。
攻击机制：
递归解析器依赖缓存避免重复解析，缓存条目保留时间取决于响应的 TTL。攻击者发送清除递归期望位（RD=0）的查询，依据 RFC 1034，解析器仅从缓存返回结果：若命中则返回记录，未命中则返回空的“无错误”应答。即使服务器拒绝此类查询，仍可通过响应时间差异判断缓存状态。原文未给出具体数据说明成功率或时间窗口。
风险与局限：
扫描器将此标记为中等风险（CVSS 5.0，向量 AV:N/AC:L/Au:N/C:P/I:N/A:N），认为可用于构建企业访问金融机构、B2B 合作伙伴、外部邮件服务器等统计模型。但攻击需预知目标域名，无法遍历整个缓存，也无法关联具体请求客户端。若为内网 DNS 且不对外开放，攻击面仅限内部人员及访客网络。
防护建议：
PowerDNS 建议联系 DNS 软件厂商获取修复方案。根本对策是配置解析器拒绝或限制 RD=0 的非授权查询，或在权威与递归服务分离架构下仅对受信客户端开放递归。原文未给出具体配置示例或各厂商补丁发布时间。
运维应核查递归解析器是否对互联网开放 RD=0 查询，优先在边界封禁或限速此类探测；内网环境需评估访客 WiFi 等非受信段的访问权限。缓存窥探虽难直接导致数据泄露，但会辅助攻击者绘制资产拓扑，纳入常规加固清单可降低侧写风险。
原文: APNIC Blog（2021-08-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog