Korrektur-Updates der stabilen Versionen des DNS-Servers BIND 9.11.22 und 9.16.6 sowie der in Entwicklung befindlichen experimentellen Version 9.17.4. In den neuen Versionen wurden 5 Sicherheitsanfälligkeiten behoben. Die gefährlichste Anfälligkeit () kann remote einen Dienstabbruch verursachen, indem eine bestimmte Paketgruppe an den TCP-Port gesendet wird, an dem BIND Verbindungen akzeptiert. Das Senden von anomalen großen AXFR-Anfragen an den TCP-Port führt dazu, dass die Bibliothek libuv, die die TCP-Verbindung bedient, dem Server eine Größe übergibt, die die Assertion-Prüfung auslöst und den Prozess beendet. к тому, что обслуживающая TCP-соединение библиотека libuv передаст серверу размер, приводящий к срабатыванию проверки assertion и завершению процесса.
Weitere Schwachstellen:
- – ein Angreifer kann das Auslösen einer Assertion-Prüfung und das sofortige Beenden des Resolvers initiieren, wenn er versucht, den QNAME nach der Umleitung der Anfrage zu minimieren. Das Problem tritt nur auf Servern auf, bei denen die QNAME-Minimierung aktiviert ist und die im Modus 'Forward First' betrieben werden.
- – ein Angreifer kann das Auslösen einer Assertion-Prüfung und das sofortige Beenden des Arbeitsprozesses verursachen, wenn der DNS-Server des Angreifers auf die Anfrage des DNS-Servers des Opfers falsche Antworten mit einer TSIG-Signatur zurückgibt.
- — Ein Angreifer kann die Validierung von Assertions auslösen und den Handler durch das Senden speziell gestalteter Anfragen an den Bereich, signiert mit einem RSA-Schlüssel, abrupt beenden. Das Problem tritt nur bei der Serverkonfiguration mit der Option „—enable-native-pkcs11“ auf.
- — Ein Angreifer, der befugt ist, den Inhalt bestimmter Felder in DNS-Zonen zu ändern, kann zusätzliche Privilegien erlangen, um anderen Inhalt der DNS-Zone zu ändern.
Quelle: opennet.ru
