დისტანციურად ექსპლუატირებადი დაუცველობა GNU adns ბიბლიოთეკაში

GNU პროექტის მიერ შემუშავებულ ბიბლიოთეკაში DNS მოთხოვნების რეკლამების შესასრულებლად გამოავლინა 7 დაუცველობა, რომელთაგან ოთხი პრობლემაა (CVE-2017-9103, CVE-2017-9104, CVE-2017-9105, CVE-2017-9109) შეიძლება გამოყენებულ იქნას სისტემაზე დისტანციური კოდის შესრულების შეტევის შესასრულებლად. დანარჩენი სამი დაუცველობა იწვევს სერვისის უარყოფას, რაც იწვევს აპლიკაციის ავარიას, რომელიც იყენებს რეკლამას.

პაკეტი რეკლამები მოიცავს C ბიბლიოთეკას და კომუნალურ პროგრამებს DNS მოთხოვნების ასინქრონულად შესასრულებლად ან მოვლენებზე ორიენტირებული მოდელის გამოყენებით. პრობლემები დაფიქსირდა გამოშვებებში 1.5.2 და 1.6.0. დაუცველობა საშუალებას აძლევს აპლიკაციებს, რომლებიც იძახებენ რეკლამის ფუნქციებს, განხორციელდეს თავდასხმა რეკურსიული DNS სერვერის მეშვეობით, რომელიც აბრუნებს სპეციალურად ფორმატირებული პასუხს ან SOA/RP ველებს.

წყარო: opennet.ru