Mise à jour du serveur DNS BIND 9.11.22, 9.16.6, 9.17.4 corrigeant 5 vulnérabilités

Publié Mises à jour correctives des branches stables du serveur DNS BIND 9.11.22 et 9.16.6, ainsi que de la branche expérimentale en cours de développement 9.17.4. Les nouvelles versions corrigent 5 vulnérabilités. La vulnérabilité la plus dangereuse (CVE-2020-8620) d'installer peut provoquer un déni de service à distance en envoyant un certain ensemble de paquets au port TCP sur lequel BIND accepte les connexions. L'envoi de requêtes AXFR anormalement volumineuses sur le port TCP peut entraîner peut amener la bibliothèque libuv, qui gère les connexions TCP, à transmettre à l serveur une taille entraînant l'activation d'une vérification d'assertion et la terminaison du processus.

Autres vulnérabilités :

• CVE-2020-8621 — un attaquant peut déclencher une vérification d'assertion et provoquer l'arrêt d'urgence du résolveur lors d'une tentative de minimisation du QNAME après avoir redirigé la requête. Le problème ne se manifeste que sur les serveurs avec la minimisation du QNAME activée, fonctionnant en mode ‘forward first’.
• CVE-2020-8622 — un attaquant peut déclencher une vérification d'assertion et provoquer l'arrêt d'urgence d'un processus de travail si le serveur DNS de l'attaquant renvoie des réponses incorrectes, signées avec TSIG, en réponse à une requête du serveur DNS de la victime.
• CVE-2020-8623 — un attaquant peut déclencher une vérification d'assertion et provoquer l'arrêt d'urgence du gestionnaire en envoyant des requêtes de zone spécialement formatées, signées avec une clé RSA. Le problème ne se manifeste que lorsque le serveur est assemblé avec l’option « --enable-native-pkcs11 ».
• CVE-2020-8624 — un attaquant ayant les droits de modifier le contenu de certains champs dans les zones DNS peut obtenir des privilèges supplémentaires pour modifier d'autres contenus de la zone DNS.

Source : opennet.ru