Fallo crítico en DNS obliga a parchear toda Internet

Actualización [22:10]: Diferentes fabricantes están reaccionando al problema con parches e instrucciones concretas: Debian, Cisco, Infoblox, ISC, Juniper, Microsoft, Red Hat, Sun (Solaris)...

Esta vez, quien esté libre de fallo que tire el primer parche: desde Debian a Microsoft, y desde Cisco a Sun, todos han lanzado -o están a punto de hacerlo- el parche correspondiente para resolver un grave problema de diseño en el sistema de servidores de nombre de dominio (DNS), que permitiría a un atacante desviar todas las peticiones a kriptopolis.org a una imitación del sitio original, o a cualquier otro sitio que no tenga nada que ver con él.

Pese a lo que digan hoy la mayoría de los medios, el fallo es antiguo (probablemente tanto como la propia Internet) y en diversas variantes ya había sido anticipado por varios autores, aunque ahora sea Kaminsky quien parece llevarse toda la "gloria" mediática. Entre esos trabajos anticipatorios merece quizás la pena citar los de D.J. Bernstein o el presentado por Ian Green hace tres años sobre la resolución de nombres de dominio en Windows XP...

En mi modesta opinión, la nota técnica que mejor describe la vulnerabilidad es la del US CERT, pero quien prefiera un resumen técnico más comprensible puede encontrarlo en esta otra nota del SANS Institute.

Aunque los detalles exactos de este "exploit" concreto no se han revelado, se avecinan días (o semanas) de intenso parcheo para los administradores (añado: y también para los usuarios que utilizan bind y similares para cachear sus resoluciones de nombres). Mientras tanto, el propio Kaminsky ha publicado en su blog un comprobador de servidores DNS (botón "Check my DNS") que os permite comprobar si el vuestro (o en la mayoría de casos el de vuestro proveedor) sigue estando afectado y -sobre todo- cuándo deja de estarlo.