Как безопасно проверить Netty DNS: CNAME кешируется только в bailiwick: точная версия, reachability, обратимый fixture, измеримые PASS/FAIL/Unknown и stop-rule без production-данных.
Граница проблемы: Netty DNS: CNAME кешируется только в bailiwick
Самостоятельная пользовательская боль: ответ на один QNAME добавляет в alias cache CNAME, за который источник ответа не авторитетен. Защитное правило для проверки сформулировано заранее: «как безопасно проверить что cache admission принимает лишь records относящиеся к qname и допустимой authoritative zone в netty dns cname resolver без production данных». GitHub Reviewed Advisory ghsa-676x-f7gg-47vc описывает: «Netty Vulnerable to DNS Cache Poisoning via Missing Bailiwick Checks in CNAME Records»; запись опубликована 2026-06-08 и обновлена 2026-08-20. Эти сведения подтверждают технический сигнал и upstream-контекст, но не доказывают наличие затронутой версии, достижимость пути, эксплуатацию конкретной системы или популярность запроса. Поэтому итог по локальной среде начинается как Unknown и меняется только после inventory, reachability и изолированного теста.
Сверьте версии и достижимость для netty-dns-cname-bailiwick-cache-filter
До fixture зафиксируйте компонент, конфигурацию и достижимость механизма. Boundary из reviewed record и прямого upstream-источника: «maven/io.netty:netty-resolver-dns >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-resolver-dns <= 4.1.134.Final; first patched 4.1.135.Final». Разнесите состояния в таблице: компонента нет; версия вне диапазона; исправление backported; функция выключена; путь недостижим; provenance неясен; нужен fixture. Рабочий набор полей именно для этой темы: QNAME, record owner, target, authority, bailiwick, cache writes, resolution. Banner, lockfile без resolved tree или совпадение имени пакета не являются доказательством. Если схема версий форка не сопоставима с upstream, оставьте Unknown и запросите build provenance вместо категоричного PASS.
Обратимый тест без production-данных: QNAME
Безопасный fixture: resolver unit-test получает handcrafted DNS response objects: in-bailiwick control и unrelated CNAME; сеть/DNS cache production отсутствуют. До запуска запишите expected invariant, лимиты времени и памяти, допустимые side effects и способ полной очистки. Добавьте положительный control для штатного пути и отрицательный case, который меняет только одну проверяемую границу. Используйте фиктивные identifiers и временное состояние; токены, реальные адреса, пользовательские данные, рабочие конфиги и внешние цели исключены. После каждого case удалите temp-state и повторите малый control: он подтверждает, что отказ относится к механизму, а не к сломанному harness.
Зафиксируйте доказательство по полям resolution
Артефакт проверки хранит только минимизированные поля: QNAME, record owner, target, authority, bailiwick, cache writes, resolution. Для каждого поля отметьте источник: configuration, измерение, parser output или решение policy. Критерий PASS определён до запуска: unrelated record не создаёт cache entry, control chain даёт ровно ожидаемые aliases. FAIL допустим только если запрещённый эффект наблюдается в изоляции, boundary и runtime-mode совпали, а оба controls дают ожидаемый результат. Во всех остальных случаях ставьте Unknown или Inconclusive. Не прикладывайте сырые логи: достаточно hash fixture, версии, обезличенной матрицы, результата controls и времени проверки.
Проверьте причинность вывода о как безопасно проверить что cache admission принимает лишь records относящиеся к qname и д
Рецензент должен связать наблюдение «ответ на один QNAME добавляет в alias cache CNAME, за который источник ответа не авторитетен» с конкретной границей «как безопасно проверить что cache admission принимает лишь records относящиеся к qname и допустимой authoritative zone в netty dns cname resolver без production данных», а не с похожим внешним симптомом. Попросите показать, где в resolved build применяется boundary «maven/io.netty:netty-resolver-dns >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-resolver-dns <= 4.1.134.Final; first patched 4.1.135.Final», почему операция «resolver unit-test получает handcrafted DNS response objects: in-bailiwick control и unrelated CNAME; сеть/DNS cache production отсутствуют» обратима и какие значения QNAME, record owner, target, authority, bailiwick, cache writes, resolution получены измерением. Затем отдельно объясните, почему результат «unrelated record не создаёт cache entry, control chain даёт ровно ожидаемые aliases» проверяет и отказ, и штатный control. Если хотя бы одно звено отсутствует, вывод возвращается в Unknown; severity advisory нельзя переносить на локальную установку автоматически.
Особенность механизма netty-dns-cname-bailiwick-cache-filter
Bailiwick оценивается относительно authority для текущего ответа, а не по внешнему сходству имён. В fixture храните QNAME, owner CNAME, target, authority zone и каждую попытку записи в cache. In-bailiwick control должен собрать ожидаемую цепочку, а unrelated owner или target не должен оставлять cache entry. Так результат относится к политике кеширования CNAME, а не к доступности внешнего DNS или системному resolver.
Обновление, повторная проверка и граница остановки
Предпочтительное действие — перейти на исправленную upstream-ветку из boundary «maven/io.netty:netty-resolver-dns >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-resolver-dns <= 4.1.134.Final; first patched 4.1.135.Final», затем повторить тот же fixture и штатный control. Временная мера допустима только если разрывает описанный механизм, имеет владельца, срок действия, наблюдаемый сигнал и проверяемый rollback. Обязательный stop-rule: не посылать forged DNS packets и не менять системный resolver/cache.. При его срабатывании эксперимент прекращают, не расширяя доступ и не повышая нагрузку. В обращение к maintainer включите provenance, feature state, матрицу полей и ссылки на reviewed advisory и прямой upstream-источник; эксплуатационные инструкции и данные реальной среды исключите.
Минимальный пакет для поддержки по netty-dns-cname-bailiwick-cache-filter
Соберите короткую причинную карточку: боль — «ответ на один QNAME добавляет в alias cache CNAME, за который источник ответа не авторитетен»; invariant — «как безопасно проверить что cache admission принимает лишь records относящиеся к qname и допустимой authoritative zone в netty dns cname resolver без production данных»; версия — «maven/io.netty:netty-resolver-dns >= 4.2.0.Final, <= 4.2.14.Final; first patched 4.2.15.Final | maven/io.netty:netty-resolver-dns <= 4.1.134.Final; first patched 4.1.135.Final»; операция — «resolver unit-test получает handcrafted DNS response objects: in-bailiwick control и unrelated CNAME; сеть/DNS cache production отсутствуют»; поля — QNAME, record owner, target, authority, bailiwick, cache writes, resolution; PASS — «unrelated record не создаёт cache entry, control chain даёт ровно ожидаемые aliases». Добавьте hash теста, результат positive/negative controls, cleanup result и причину, по которой тест не касается внешней системы. Не включайте IP, токены, реальные имена, ключи, содержимое документов или полные логи. Если direct source подтверждает только release context, так и укажите: он не является доказательством локальной уязвимости. Граница остановки остаётся неизменной: не посылать forged DNS packets и не менять системный resolver/cache..
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые источники, безопасный fixture, privacy-границы и отсутствие рекламных обещаний затем перепроверены.
Источники и проверка
- GitHub Reviewed Advisory ghsa-676x-f7gg-47vc проверено 2026-08-31
- Прямой upstream-источник для Netty DNS: CNAME кешируется только в bailiwick проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.