PowerDNS ಅಧಿಕೃತ ಸರ್ವರ್‌ನಲ್ಲಿನ ದೋಷಗಳು

ಲಭ್ಯವಿದೆ ಅಧಿಕೃತ DNS ಸರ್ವರ್ ನವೀಕರಣಗಳು PowerDNS ಅಧಿಕೃತ ಸರ್ವರ್ 4.3.1, 4.2.3 ಮತ್ತು 4.1.14ಇದರಲ್ಲಿ ನಿವಾರಿಸಲಾಗಿದೆ ನಾಲ್ಕು ದುರ್ಬಲತೆಗಳು, ಅವುಗಳಲ್ಲಿ ಎರಡು ಆಕ್ರಮಣಕಾರರಿಂದ ರಿಮೋಟ್ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್‌ಗೆ ಕಾರಣವಾಗಬಹುದು.

ದೋಷಗಳು CVE-2020-24696, CVE-2020-24697 ಮತ್ತು CVE-2020-24698
ಪರಿಣಾಮ ಬೀರುತ್ತವೆ ಕೀ ವಿನಿಮಯ ಕಾರ್ಯವಿಧಾನದ ಅನುಷ್ಠಾನದೊಂದಿಗೆ ಕೋಡ್ GSS-TSIG. ಪವರ್‌ಡಿಎನ್‌ಎಸ್ ಅನ್ನು ಜಿಎಸ್‌ಎಸ್-ಟಿಎಸ್‌ಐಜಿ ಬೆಂಬಲದೊಂದಿಗೆ ನಿರ್ಮಿಸಿದಾಗ ಮಾತ್ರ ದುರ್ಬಲತೆಗಳು ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ (“—ಎನೇಬಲ್-ಪ್ರಾಯೋಗಿಕ-ಜಿಎಸ್‌ಎಸ್-ಟಿಸಿಗ್”, ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ಬಳಸಲಾಗುವುದಿಲ್ಲ) ಮತ್ತು ವಿಶೇಷವಾಗಿ ವಿನ್ಯಾಸಗೊಳಿಸಿದ ನೆಟ್‌ವರ್ಕ್ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಕಳುಹಿಸುವ ಮೂಲಕ ಬಳಸಿಕೊಳ್ಳಬಹುದು. ತಪ್ಪಾಗಿ ಫಾರ್ಮ್ಯಾಟ್ ಮಾಡಲಾದ GSS-TSIG ಸಹಿಗಳೊಂದಿಗೆ ವಿನಂತಿಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ ರೇಸ್ ಪರಿಸ್ಥಿತಿಗಳು ಮತ್ತು ಡಬಲ್-ಫ್ರೀ ದೌರ್ಬಲ್ಯಗಳು CVE-2020-24696 ಮತ್ತು CVE-2020-24698 ಕ್ರ್ಯಾಶ್ ಅಥವಾ ಆಕ್ರಮಣಕಾರರ ಕೋಡ್‌ನ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಗೆ ಕಾರಣವಾಗಬಹುದು. ದುರ್ಬಲತೆ CVE-2020-24697 ಸೇವೆಯ ನಿರಾಕರಣೆಗೆ ಸೀಮಿತವಾಗಿದೆ. GSS-TSIG ಕೋಡ್ ಅನ್ನು ವಿತರಣಾ ಪ್ಯಾಕೇಜ್‌ಗಳಲ್ಲಿ ಒಳಗೊಂಡಂತೆ ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ಬಳಸಲಾಗಿಲ್ಲ ಮತ್ತು ಇತರ ಸಮಸ್ಯೆಗಳನ್ನು ಸಂಭಾವ್ಯವಾಗಿ ಒಳಗೊಂಡಿರುವುದರಿಂದ, PowerDNS ಅಧಿಕೃತ 4.4.0 ಬಿಡುಗಡೆಯಲ್ಲಿ ಅದನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ತೆಗೆದುಹಾಕಲು ನಿರ್ಧರಿಸಲಾಯಿತು.

CVE-2020-17482 ಪ್ರಾರಂಭಿಕವಲ್ಲದ ಪ್ರಕ್ರಿಯೆ ಮೆಮೊರಿಯಿಂದ ಮಾಹಿತಿ ಸೋರಿಕೆಗೆ ಕಾರಣವಾಗಬಹುದು, ಆದರೆ ಸರ್ವರ್ ಒದಗಿಸಿದ DNS ವಲಯಗಳಿಗೆ ಹೊಸ ದಾಖಲೆಗಳನ್ನು ಸೇರಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಹೊಂದಿರುವ ದೃಢೀಕೃತ ಬಳಕೆದಾರರಿಂದ ವಿನಂತಿಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ ಮಾತ್ರ ಸಂಭವಿಸುತ್ತದೆ.

ಮೂಲ: opennet.ru