云负载均衡内置DNS解析模块爆出内存泄露漏洞，长时间高并发易引发节点宕机

近期安全厂商监测披露，多款云负载均衡产品内置DNS解析模块存在内存泄露漏洞。该漏洞主要出现在负载均衡动态解析后端域名的场景，在长时间高并发流量环境下，DNS解析处理完成后内存资源无法正常回收，内存占用持续单向上涨，最终触发OOM内存溢出，造成负载均衡节点进程崩溃、节点宕机。

云负载均衡作为业务流量入口，大量企业使用域名形式配置后端服务，依靠内置DNS模块周期性解析后端域名，实现后端节点动态发现。在电商大促、直播、API接口等高并发场景，持续大量DNS查询请求会加速内存泄漏。故障特征具有隐蔽性，短时间压测很难发现，通常连续运行数小时到数天后才逐步暴露，运维人员容易误判为资源不足。帝恩思安全团队提醒，该漏洞仅针对开启动态DNS后端解析的负载均衡实例，一旦节点宕机，会直接导致业务流量中断。

一、漏洞原理与业务危害

内存泄露，指程序完成DNS解析任务后，申请的内存资源没有被释放，内存持续堆积。负载均衡内置DNS模块在处理域名解析应答、异常NXDOMAIN、SERVFAIL报错报文时，存在资源释放逻辑缺陷，每一次解析都会残留少量内存。低并发场景残留缓慢，不易察觉；长时间高并发下内存不断累积，最终耗尽节点内存，操作系统终止LB进程。

该漏洞带来多重业务风险。

第一，流量入口中断，负载均衡节点宕机，网站、小程序、API服务无法接入流量，引发全站业务瘫痪.

第二，故障连锁扩散，集群中单个节点崩溃后，流量会转移至其余节点，加速其他节点内存泄漏，出现集群级连锁宕机.

第三，故障排查难度大，内存缓慢增长属于渐进式故障，无明显攻击特征，日志无直接报错，定位周期长.

第四，大促时段风险放大，电商、在线服务在流量高峰期触发漏洞，会造成重大业务损失。

二、漏洞自查检测要点

运维团队可通过以下方式，快速自查负载均衡实例是否存在该漏洞风险。

1、监控内存指标：持续观测负载均衡节点RSS内存，若长时间稳定流量下内存只涨不降，重启后内存回落，大概率存在内存泄漏。

2、梳理后端配置：检查负载均衡后端是否使用域名动态解析，静态IP后端不受该DNS模块漏洞影响。

3、复现压力测试：在测试环境模拟持续高并发后端域名解析请求，长时间压测观察内存增长曲线。

4、版本核对：查询云厂商公告，核对当前负载均衡版本是否在漏洞影响版本范围内，优先查看官方安全公告。

三、应急处置与长期加固方案

针对本次云负载均衡DNS模块内存泄露漏洞，企业运维可按优先级执行防护操作。

第一，优先查看云厂商安全公告，在测试环境验证后，升级负载均衡至修复后的最新版本，从根源修复内存释放缺陷。

第二，临时规避方案，将后端域名改为静态IP配置，关闭负载均衡内置动态DNS解析，绕过存在漏洞的解析模块。

第三，完善监控告警，增加内存使用率、内存增长率监控，设置阈值告警，配置节点自动重启策略作为兜底。

第四，业务层面构建多可用区负载均衡集群，跨可用区冗余部署，防止单点宕机影响整体业务。

第五，搭配独立的商用DNS解析服务，例如帝恩思高防DNS，把域名解析剥离出负载均衡，减少LB内置DNS模块的调用压力，降低同类解析漏洞带来的风险。

总而言之，云负载均衡内置DNS模块内存泄漏属于典型渐进式漏洞，在高并发业务场景下威胁显著。很多企业只关注DDoS、Web攻击，容易忽视负载均衡内置组件的底层代码缺陷。建议企业尽快完成存量负载均衡实例的风险排查，及时升级补丁或调整后端配置，做好流量入口的冗余与监控，避免业务突发宕机事故。