autoritativní aktualizace serveru DNS ve kterém čtyři zranitelnosti, z nichž dvě by mohly potenciálně vést ke vzdálenému spuštění kódu útočníkem.
Chyby zabezpečení CVE-2020-24696, CVE-2020-24697 a CVE-2020-24698
kódu s implementací mechanismu výměny klíčů . Chyby zabezpečení se objevují pouze v případě, že je PowerDNS vytvořeno s podporou GSS-TSIG („—enable-experimental-gss-tsig“, ve výchozím nastavení se nepoužívá) a lze je zneužít odesláním speciálně navrženého síťového paketu. Závodní podmínky a zranitelnosti typu double-free CVE-2020-24696 a CVE-2020-24698 mohou vést ke zhroucení nebo spuštění kódu útočníka při zpracování požadavků s nesprávně formátovanými podpisy GSS-TSIG. Chyba zabezpečení CVE-2020-24697 je omezena na odmítnutí služby. Vzhledem k tomu, že kód GSS-TSIG nebyl standardně používán, a to ani v distribučních balíčcích, a potenciálně obsahuje další problémy, bylo rozhodnuto o jeho úplném odstranění ve verzi PowerDNS Authoritative 4.4.0.
může vést k úniku informací z paměti neinicializovaného procesu, ale dochází k němu pouze při zpracování požadavků od ověřených uživatelů, kteří mají možnost přidávat nové záznamy do zón DNS obsluhovaných serverem.
Zdroj: opennet.ru