Actualizaciones correctivas a las ramas estables del servidor DNS BIND 9.11.22 y 9.16.6, así como a la rama experimental 9.17.4, que se encuentra en desarrollo. Se corrigen 5 vulnerabilidades en nuevas versiones. La vulnerabilidad más peligrosa () Provocar de forma remota una denegación de servicio enviando un conjunto específico de paquetes a un puerto TCP que acepte conexiones BIND. Enviar solicitudes AXFR anormalmente grandes a un puerto TCP, al hecho de que la biblioteca libuv que sirve la conexión TCP transmitirá el tamaño al servidor, lo que provocará que se active la verificación de aserción y finalice el proceso.
Otras vulnerabilidades:
- — un atacante puede activar una verificación de aserción y bloquear el solucionador al intentar minimizar QNAME después de redirigir una solicitud. El problema solo aparece en servidores con la minificación de QNAME habilitada y ejecutándose en modo "reenviar primero".
- — el atacante puede iniciar una verificación de aserción y una terminación de emergencia del flujo de trabajo si el servidor DNS del atacante devuelve respuestas incorrectas con la firma TSIG en respuesta a una solicitud del servidor DNS de la víctima.
- — un atacante puede activar la verificación de aserción y la terminación de emergencia del controlador enviando solicitudes de zona especialmente diseñadas y firmadas con una clave RSA. El problema sólo aparece al construir el servidor con la opción “-enable-native-pkcs11”.
- — un atacante que tiene autoridad para cambiar el contenido de ciertos campos en zonas DNS puede obtener privilegios adicionales para cambiar otros contenidos de la zona DNS.
Fuente: opennet.ru