Обновление DNS-сервера BIND 9.11.22, 9.16.6, 9.17.4 с устранением 5 уязвимостей

Опубликованы корректирующие обновления стабильных веток DNS-сервера BIND 9.11.22 и 9.16.6, а также находящейся в разработке экспериментальной ветки 9.17.4. В новых выпусках устранено 5 уязвимостей. Наиболее опасная уязвимость (CVE-2020-8620) позволяет удалённо вызвать отказ в обслуживании через отправку определённого набора пакетов на TCP-порт, на котором принимает соединения BIND. Отправка на TCP-порт аномально больших запросов AXFR, может привести к тому, что обслуживающая TCP-соединение библиотека libuv передаст серверу размер, приводящий к срабатыванию проверки assertion и завершению процесса.

Другие уязвимости:

• CVE-2020-8621 — атакующий может инициировать срабатывание проверки assertion и экстренное завершение резолвера при попытке минимизации QNAME после перенаправления запроса. Проблема проявляется только на серверах с включённой минимизацией QNAME, работающих в режиме ‘forward first’.
• CVE-2020-8622 — атакующий может инициировать срабатывание проверки assertion и экстренное завершение рабочего процесса в случае если DNS-сервер атакующего вернёт в ответ на запрос DNS-сервера жертвы некорректные ответы с подписью TSIG.
• CVE-2020-8623 — атакующий может инициировать срабатывание проверки assertion и экстренное завершение обработчика через отправку специально оформленных запросов зоны, подписанной ключом RSA. Проблема проявляется только при сборке сервера с опцией «—enable-native-pkcs11».
• CVE-2020-8624 — атакующий, имеющий полномочия изменять содержимое определённых полей в DNS-зонах, может получить дополнительные привилегии для изменения другого содержимого DNS-зоны.

Источник: opennet.ru