VU#652514 - DNS重绑定与操纵CORS头可实现信息窃取
漏洞说明 VU#652514
首次发布日期：2025-10-17 | 最后修订日期：2025-10-17
概述
Chromium、Google Chrome、Microsoft Edge、Safari和Firefox浏览器中的跨源资源共享（CORS）头存在漏洞，使得CORS策略可能被操纵。结合DNS重绑定攻击，攻击者无论目标实施何种CORS策略，都能向监听任意端口的服务发送任意请求。用户应通过应用浏览器供应商提供的更新来实施缓解措施。
描述
跨源资源共享是一种机制，允许服务器指示除自身之外的任何源（域名、方案或端口）在浏览器中加载资源。例如，当网站需要从另一个网站访问您的账户数据时，CORS策略通常是建立该通信的最佳方式之一。然而，根据使用情况，CORS可能被错误地实施。因此，攻击者可以利用CORS配置错误，甚至将其与其他漏洞串联起来影响系统。
DNS重绑定攻击滥用了浏览器依赖主机名来识别网络中不同服务器的方式。主机名并不直接绑定到网络设备，可以根据域名所有者的DNS记录解析为任意IP地址。攻击者可以利用受害者的浏览器作为代理，将攻击面扩展到私有网络。例如，攻击者诱骗受害者打开恶意网站，该网站扫描本地网络中的开放Web服务。定位目标服务后，攻击者可以据此有根据地猜测应将哪些服务的IP地址重新绑定到恶意网站，以便在不违反同源策略的情况下访问其资源。
已观察到在Chromium、Google Chrome、Microsoft Edge、Safari和Firefox上成功实施DNS重绑定攻击并操纵CORS头以实现恶意数据窃取的能力。攻击者可以使用恶意网站执行JavaScript有效负载，该负载定期发送CORS头以询问服务器跨源请求是否安全且被允许。自然，攻击者控制的主机名将以宽松的CORS头响应，从而绕过CORS策略。然后，攻击者执行DNS重绑定攻击，以便将主机名分配为目标服务的IP地址。在DNS响应更改后的IP地址后，新目标继承了宽松的CORS策略，允许攻击者可能从目标窃取数据。
Mozilla已为此漏洞分配了CVE-2025-8036。
影响
影响取决于目标。私有网络的暴露和对敏感数据的未经授权访问都在可能范围内。
解决方案
DNS重绑定攻击在被利用时可能产生严重后果，因此我们建议保持浏览器更新以获取最新的漏洞补丁。
致谢
感谢希望保持匿名的报告者。本文档由Ben Koo编写。
供应商信息
Mozilla
状态：受影响
通知日期：2025-04-15
更新日期：2025-10-17
声明日期：2025年5月27日
CVE-2025-8036 受影响
供应商声明
我们尚未收到供应商的声明。
参考链接
https://bugzilla.mozilla.org/show_bug.cgi?id=1960834
Microsoft
状态：不受影响
通知日期：2025-04-15
更新日期：2025-10-17
声明日期：2025年4月25日
CVE-2025-8036 不受影响
供应商声明
我们评估认为，如果攻击者有足够的控制权来修改DNS记录，那么他们不需要绕过CORS，因为他们可以将受害者转移到恶意页面。
Apple
状态：未知
通知日期：2025-04-15
更新日期：2025-10-17
CVE-2025-8036 未知
供应商声明
我们尚未收到供应商的声明。
状态：未知
通知日期：2025-04-15
更新日期：2025-10-17
CVE-2025-8036 未知
供应商声明
我们尚未收到供应商的声明。
参考资料
- https://www.cve.org/CVERecord?id=CVE-2025-8036
- https://www.mozilla.org/en-US/security/advisories/mfsa2025-56/
- https://unit42.paloaltonetworks.com/dns-rebinding/
- https://github.blog/security/application-security/localhost-dangers-cors-and-dns-rebinding/
其他信息
CVE ID：CVE-2025-8036
公开日期：2025-10-17
首次发布日期：2025-10-17
最后更新日期：2025-10-17 11:45 UTC
文档版本：1