DNS zerbitzariaren eguneratze autoritarioak , bertan lau ahultasun, horietako bik erasotzaile batek urruneko kodea exekutatzera eraman dezake.
CVE-2020-24696, CVE-2020-24697 eta CVE-2020-24698 ahultasunak
kodea gakoen truke-mekanismoaren ezarpenarekin . Ahultasunak PowerDNS GSS-TSIG euskarriaren bidez eraikitzen denean bakarrik agertzen dira ("βenable-experimental-gss-tsig", lehenespenez erabiltzen ez dena) eta bereziki diseinatutako sare-pakete bat bidaliz balia daitezke. Lasterketa-baldintzak eta ahultasun bikoitzak CVE-2020-24696 eta CVE-2020-24698 erasotzaile-kodea hutsegitea edo exekuzioa ekar dezakete gaizki formateatutako GSS-TSIG sinadurak dituzten eskaerak prozesatzen dituztenean. CVE-2020-24697 ahultasuna zerbitzua ukatzera mugatzen da. GSS-TSIG kodea lehenespenez erabiltzen ez zenez, banaketa-paketeetan barne, eta beste arazo batzuk izan ditzakeenez, guztiz kentzea erabaki zen PowerDNS Authoritative 4.4.0 bertsioan.
hasieratu gabeko prozesuen memoriatik informazio-isuria ekar dezake, baina zerbitzariak zerbitzatzen dituen DNS guneetan erregistro berriak gehitzeko gaitasuna duten erabiltzaile autentifikatuen eskaerak prozesatzen direnean bakarrik gertatzen da.
Iturria: opennet.ru