Corrigerende updates voor de stabiele versies van de DNS-server BIND 9.11.22 en 9.16.6, evenals voor de experimentele versie 9.17.4 die momenteel in ontwikkeling is. In de nieuwe releases zijn 5 kwetsbaarheden verholpen. De meest kritieke kwetsbaarheid () kan op afstand een denial of service veroorzaken door een specifieke set pakketten te verzenden naar de TCP-poort waarop BIND verbindingen accepteert. Het verzenden van abnormaal grote AXFR-verzoeken naar de TCP-poort, tot het feit dat de libuv-bibliotheek, die de TCP-verbinding beheert, de server een grootte doorgeeft die de assertion-check triggert en het proces beƫindigt.
Andere kwetsbaarheden:
- ā een aanvaller kan een assertion-check triggeren en de resolver onverwacht beĆ«indigen bij het proberen te minimaliseren van QNAME na het doorsturen van een verzoek. Het probleem doet zich alleen voor op servers met ingeschakelde QNAME-minimalisatie die in de 'forward first'-modus draaien.
- ā een aanvaller kan een assertion-check triggeren en het werkproces snel afsluiten als de DNS-server van de aanvaller onjuiste antwoorden met een TSIG-handtekening retourneert als reactie op een verzoek van de slachtoffer-DNS-server.
- ā een aanvaller kan een assertion-check triggeren en de handler onverwacht beĆ«indigen door speciaal geconfigureerde zoneverzoeken te verzenden die met een RSA-sleutel zijn ondertekend. Het probleem doet zich alleen voor bij de serverbuild met de optie 'āenable-native-pkcs11'.
- ā een aanvaller met de bevoegdheid om bepaalde velden in DNS-zones te wijzigen, kan extra privileges verkrijgen om andere inhoud in de DNS-zone aan te passen.
Bron: opennet.ru
