Aktualisierung des DNS-Servers BIND 9.11.22, 9.16.6, 9.17.4 zur Behebung von 5 Sicherheitsanfälligkeiten

Veröffentlicht Korrektur-Updates der stabilen Zweige des DNS-Servers BIND 9.11.22 und 9.16.6 sowie des in der Entwicklung befindlichen experimentellen Zweigs 9.17.4. In den neuen Versionen wurden 5 Schwachstellen behoben. Die gefährlichste Schwachstelle (CVE-2020-8620) das Öffnen eines Links in einem neuen Tab oder in einem neuen Container. kann einen Dienstleistungsabbruch aus der Ferne verursachen, indem eine bestimmte Gruppe von Paketen an den TCP-Port gesendet wird, auf dem BIND Verbindungen entgegennimmt. Das Senden von anormal großen AXFR-Anfragen an den TCP-Port, kann dazu führen , dass die für die TCP-Verbindung zuständige Bibliothek libuv dem Server eine Größe übermittelt, die eine Assert-Überprüfung auslöst und den Prozess beendet.

Weitere Sicherheitsanfälligkeiten:

• CVE-2020-8621 – ein Angreifer kann eine Assert-Überprüfung auslösen und eine Notabschaltung des Resolvers verursachen, wenn er versucht, QNAME nach einer Weiterleitung der Anfrage zu minimieren. Das Problem tritt nur auf Servern auf, die die Minimierung von QNAME aktiviert haben und im Modus 'forward first' arbeiten.
• CVE-2020-8622 – ein Angreifer kann eine Assert-Überprüfung auslösen und eine Notabschaltung des Arbeitsprozesses verursachen, falls der DNS-Server des Angreifers auf eine Anfrage des DNS-Servers des Opfers ungültige Antworten mit TSIG-Signatur zurückgibt.
• CVE-2020-8623 – ein Angreifer kann eine Assert-Überprüfung auslösen und eine Notabschaltung des Handlers verursachen, indem er speziell gestaltete Zone-Anfragen sendet, die mit einem RSA-Schlüssel signiert sind. Das Problem tritt nur bei Serverkompilierungen mit der Option '—enable-native-pkcs11' auf.
• CVE-2020-8624 – ein Angreifer, der berechtigt ist, bestimmte Felder in DNS-Zonen zu ändern, kann zusätzliche Berechtigungen erhalten, um andere Inhalte der DNS-Zone zu verändern.

Quelle: opennet.ru