DNS Rebinding.

Bei einem DNS-Rebinding-Angriff kontrolliert der Angreifer einen autoritativen DNS-Server für eine Domain wie evil.example.com und antwortet mit einer sehr kurzen TTL (oft 1 Sekunde). Der Browser des Opfers löst den Namen zunächst auf die öffentliche IP des Angreifers auf und lädt JavaScript, was die Same-Origin-Policy erfüllt. Augenblicke später bindet der Server des Angreifers denselben Namen auf eine interne Adresse wie 192.168.1.1, 127.0.0.1 oder eine Cloud-Metadata-IP (169.254.169.254) um. Da die Origin (Schema, Host, Port) aus Sicht des Browsers unverändert bleibt, kann das bereits geladene JavaScript nun Anfragen an die HTTP-API des internen Ziels stellen, die Antworten lesen und privilegierte Aktionen auf Geräten auslösen, die jeden lokalen Aufrufer als vertrauenswürdig ansehen.

Die Technik ist alt — sie geht auf den „Princeton-Angriff" von 1996 gegen Java zurück — taucht aber immer wieder gegen unauthentifizierte lokale Dienste auf. Im Januar 2018 zeigte Tavis Ormandy von Google Project Zero, dass Blizzards Update Agent einen JSON-RPC-Server auf localhost:1120 betrieb, der den Host-Header nie prüfte; eine umgebundene Webseite konnte so privilegierte Befehle auf den Rechnern von zig Millionen Spielern ausführen. Tage zuvor hatte er dieselbe Fehlerklasse im BitTorrent-Client Transmission demonstriert. Smart-Home-Hubs, Entwicklerwerkzeuge und Router-Admin-Panels wurden auf diese Weise erreicht. Rebinding ist zudem ein häufiger Pivot für SSRF-artigen Diebstahl von Cloud-Zugangsdaten über den Metadata-Endpunkt 169.254.169.254.

Abwehr wirkt auf Anwendungs- und Netzebene: den Host/Origin-Header in jedem lokalen Dienst validieren, selbst auf localhost Authentifizierung verlangen, Antworten an HTTPS binden (das TLS-Zertifikat passt nicht zur umgebundenen IP) und Resolver so konfigurieren, dass sie Antworten ablehnen, die öffentliche Namen auf RFC-1918-, Loopback- oder Metadata-Bereiche abbilden („DNS-Pinning" und Filterung privater IPs).

flowchart TD
  V[Browser des Opfers] -->|1. besucht evil.example.com| A[Webserver des Angreifers]
  A -->|2. liefert JS, DNS-TTL = 1s| V
  V -->|3. löst evil.example.com erneut auf| D[DNS-Server des Angreifers]
  D -->|4. Rebind auf 192.168.1.1<br/>oder 169.254.169.254| V
  V -->|5. Same-Origin-JS ruft<br/>internes Ziel auf| T[Router / Metadata / IoT-API]
  T -->|6. Antwort vom Angreifer-JS gelesen| A