PowerDNS近期收到关于DNS服务器缓存窥探远程信息泄露攻击的咨询，主要源于某流行安全扫描器报告。攻击利用递归DNS服务器对未设置递归位的第三方域名查询仍返回响应的特性，可判断哪些域名近期被解析，进而推断主机访问模式、B2B合作伙伴、外部邮件服务器等。内部DNS服务器若不可外访，攻击仅限内网。风险等级中等，CVSS基础分5.0（CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N）。原理是解析器依赖缓存，TTL内可通过RD=0查询（RFC 1034）探测缓存命中；拒绝回答时仍可通过时序侧信道判断。建议联系DNS软件厂商修复。
原文: APNIC Blog（2021-08-13）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog