Обновление DNS-сервера BIND 9.11.22, 9.16.6, 9.17.4 с исправлением 5 уязвимостей

Публикувани коригиращи актуализации на стабилните версии на DNS-сервера BIND 9.11.22 и 9.16.6, както и на експерименталната версия в разработка 9.17.4. В новите версии са отстранени 5 уязвимости. Най-опасната уязвимост (CVE-2020-8620) позволява може да предизвика отказ в обслужването чрез изпращане на определен набор от пакети на TCP порта, на който BIND приема връзки. Изпращането на аномално големи заявки AXFR към TCP порта води до може да доведе функцията за обработка на TCP-соединения библиотека libuv да предаде на сървъра размер, който задейства проверка на assertion и прекратява процеса.

Други уязвимости:

• CVE-2020-8621 — атакуващият може да инициира задействането на проверка за неправилно поведение и извънредно приключване на резолвера при опит за минимизиране на QNAME след пренасочване на заявката. Проблемът се проявява само на сървъри с включена минимизация на QNAME, работещи в режим 'forward first'.
• CVE-2020-8622 — атакуващият може да инициира задействането на проверка за неправилно поведение и извънредно приключване на работния процес, ако DNS-сървърът на атакуващия върне некоректни отговори с подпис TSIG в отговор на запитването на DNS-сървъра на жертвата.
• CVE-2020-8623 — атакуващият може да инициира задействането на проверка за неправилно поведение и извънредно приключване на обработчика чрез изпращане на специално формулирани заявки за зона, подписани с RSA ключ. Проблемът се проявява само при компилация на сървъра с опция „—enable-native-pkcs11“.
• CVE-2020-8624 — атакуващият, който има правомощия да променя съдържанието на определени полета в DNS-зоните, може да получи допълнителни привилегии за промяна на друго съдържание в DNS-зоната.

Източник: opennet.ru