PowerDNS эрх бүхий сервер дэх эмзэг байдал

Боломжтой эрх бүхий DNS серверийн шинэчлэлтүүд PowerDNS эрх бүхий сервер 4.3.1, 4.2.3 болон 4.1.14аль нь хасагдсан дөрвөн эмзэг байдлын хоёр нь халдагчид алсаас код гүйцэтгэхэд хүргэж болзошгүй.

CVE-2020-24696, CVE-2020-24697 болон CVE-2020-24698 эмзэг байдал
нөлөөлөх түлхүүр солилцох механизмын хэрэгжилттэй код GSS-TSIG. Сул талууд нь зөвхөн PowerDNS-ийг GSS-TSIG дэмжлэгтэйгээр (—enable-experimental-gss-tsig, өгөгдмөлөөр ашигладаггүй) бүтээсэн үед гарч ирдэг бөгөөд тусгайлан зохион бүтээсэн сүлжээний пакет илгээх замаар ашиглаж болно. Тэмцээний нөхцөл байдал, давхардаагүй сул тал нь CVE-2020-24696 болон CVE-2020-24698 нь буруу форматлагдсан GSS-TSIG гарын үсэг бүхий хүсэлтийг боловсруулах үед халдагчийн кодыг гацах эсвэл ажиллуулахад хүргэдэг. CVE-2020-24697 эмзэг байдал нь үйлчилгээ үзүүлэхээс татгалзахаар хязгаарлагддаг. GSS-TSIG кодыг анхдагч байдлаар, түүний дотор түгээлтийн багцад ашиглаагүй бөгөөд бусад асуудлуудыг агуулсан байж болзошгүй тул PowerDNS Authoritative 4.4.0 хувилбарт үүнийг бүрэн устгахаар шийдсэн.

CVE-2020-17482 Энэ нь эхлээгүй процессын санах ойноос мэдээлэл алдагдахад хүргэж болох боловч серверийн үйлчилдэг DNS бүсэд шинэ бичлэг нэмэх чадвартай, баталгаажсан хэрэглэгчдийн хүсэлтийг боловсруулах үед л тохиолддог.

Эх сурвалж: opennet.ru